UNI ISO 37301:2021: i requisiti per i Sistemi di Gestione della Compliance

Il prossimo 7 giugno scadranno i termini dell’inchiesta pubblica finale sul progetto di norma UNI1611084 che definisce le “Linee guida per l’integrazione del sistema di gestione per la compliance UNI ISO 37301:2021 a supporto dei Modelli Organizzativi di Gestione e Controllo e degli Organismi di Vigilanza in conformità al D.Lgs.231/2001”

La norma definisce dunque, le linee guida per mettere in relazione il sistema di compliance UNI ISO 37301:2021 e i MOGC conformi al D.Lgs.231/2001.
La norma UNI ISO 37301:2021, in vigore dal 1° luglio 2021 specifica i requisiti e fornisce linee guida per istituire, sviluppare, attuare, valutare, mantenere e migliorare un efficace Sistemi di Gestione della Compliance all’interno di un’organizzazione.

• Ma cos’è e a cosa serve la UNI ISO 37301:2021 e quali sono le sinergie e le differenze da tenere presenti nell’integrazione del sistema di gestione aziendale.

L’articolo che segue è tratto dall’articolo: “La norma UNI ISO 37301:2021 a supporto dei Modelli 231″, pubblicato su rivista Ambiente&Sicurezza sul Lavoro n.8/22, a firma di Alessandro Foti (HSE & Compliance Manager, Esperto di sistemi di gestione e 231).

La norma UNI ISO 37301:2021: come gestire i Sistemi di Gestione della Compliance

L’evoluzione legislativa degli ultimi anni, soprattutto nel nostro Paese, con la conseguente introduzione di nuovi adempimenti e responsabilità, l’incremento del rischio reputazionale in un contesto che ormai supera i confini nazionali, ha portato le Organizzazioni a focalizzare ed affrontare in modo più consapevole e strutturato i possibili problemi di Compliance. A questo l’ISO ha affiancato un lavoro di normazione che, nell’ambito del filone delle ISO 37000 “Governance of organisations”, ha portato alla nascita di una specifica norma che regolamenta i Sistemi di Gestione della Compliance: la norma UNI ISO 37301:2021.

A cosa serve la UNI ISO 37301:2021

La norma indirizza le Organizzazioni all’adozione di un efficace sistema di misure organizzative allo scopo di dimostrare il proprio impegno a conformarsi non solo a leggi, requisiti regolamentari, codici di settore e specifiche organizzative (es. codici di condotta aziendali) ma anche a favorire un comportamento socialmente responsabile dell’impresa.

Questo standard consente soprattutto di governare i rischi aziendali in maniera integrata e permette di far dialogare le procedure ed i controlli, riferibili anche a sistemi normativi differenti, evitando sovrapposizioni e reciproche interferenze. Essa specifica i requisiti e fornisce linee guida per sviluppare, valutare, mantenere e migliorare un efficace sistema di gestione per la compliance all’interno di un’organizzazione che possa essere di rassicurazione alle proprie parti terze interessate.

I rapporti tra UNI ISO 37301 e il D.Lgs. 231/01

Partendo dalle premesse e dal concetto di Compliance e Governance di “alto livello” e analizzandoli anche rispetto agli specifici punti previsti dalla struttura dell’HLS (High Level Structure) è facilmente intuibile quanto questa norma possa essere un importante supporto ai temi più ampi e specifici del dettato legislativo, in particolare per quanto attiene i reati amministrativi declinati dal D.Lgs. 231/2001.

Analizzando la norma si vede come la UNI ISO 37301:2021 possa rappresentare la naturale “impalcatura” su cui andare a consolidare gli altri sistemi di gestione in un’ottica di “Sistema Integrato”. Alzando lo sguardo sull’intera organizzazione è anche possibile intuire come questo Sistema Integrato possa fungere da utile, se non indispensabile, supporto che può sostanziare e dimostrare l’effettività dei Modelli di Organizzazione, Gestione e Controllo costruiti in conformità al D.Lgs. 231/2001. In questo caso, possiamo raggiungere un livello ancora più completo ed esaustivo di integrazione ed è possibile quindi parlare di “Sistema di Gestione Integrato Aziendale”.

Modello Organizzativo 231: di cosa è composto

 Risulta quindi piuttosto evidente che un “Sistema di Gestione Integrato Aziendale” sia la soluzione più opportuna per presidiare in modo sinergico i diversi fronti “sensibili” e “rilevanti”, sia nell’ottica del rispetto dei requisiti delle norme ISO, sia nel costruire l’insieme di procedure e protocolli su cui fondare i Modelli e dimostrarne la reale aderenza ai processi aziendali. Purtroppo, è ancora troppo diffusa l’errata convinzione che il Modello Organizzativo 231 di una azienda sia esclusivamente il documento composto da Parte Generale e Parti Speciali, il Codice Etico e il Sistema sanzionatorio e disciplinare portati in approvazione al Consiglio di Amministrazione. Quelli elencati sono documenti estremamente importanti, ma rappresentano la cornice del reale sistema di regole scritte e presìdi di controllo, formalizzati e diffusi, nonché della loro attuazione a prevenire la commissione dei reati 231.

Norme volontarie e Modelli 231: analogie e differenze

Provando ora ad entrare maggiormente nel merito dei requisiti della norma e di quelli legislativi del D.Lgs. 231/2001, cerchiamo di comprendere meglio le principali analogie e differenze.

Partendo dal concetto menzionato precedentemente, ricordiamo che i sistemi di gestione ISO sono sistemi assolutamente volontari, adottati per garantire il raggiungimento dello “Scopo” della norma di riferimento.

Hanno inoltre come destinatari stakeholders interni ed esterni che beneficiano di tali misure virtuose in un’ottica di miglioramento continuo nel tempo. Scopo quindi dei sistemi, in prima istanza, è quello di rispondere ai dettami della norma volontaria che li descrive, ed è questo obiettivo che verifica l’organismo di parte terza, quando li sottopone ad audit per il rilascio della certificazione. Il “Modello di Organizzazione, Gestione e Controllo” ha invece la finalità di definire un contesto all’interno del quale, se rispettate le misure prescrittive e preventive e supportati da una corretta vigilanza, non debba essere possibile commettere un “reato 231” se non in modo fraudolento eludendo il sistema di prevenzione e controllo impostato dall’Ente.

Quale è allora il collegamento tra i due mondi?

 Il beneficio di un sistema di gestione, se adattato ed integrato con le finalità del Modello Organizzativo di Gestione e Controllo, aiuta ad identificare, progettare, implementare e rivedere idonei presìdi di controllo che, pur non essendo garanzia assoluta di prevenzione del reato 231, aiutano in modo significativo una Organizzazione a strutturare basi solide per sviluppare il “MOG” e fornire evidenze solide di “adeguatezza” e di “effettività”, fondamentali per potere dimostrare l’efficacia esimente dei Modelli aziendali.

Cos’è il Risk based thinking e l’analisi del rischio

Non potendo analizzare in dettaglio tutti requisiti, si sceglie di analizzare uno dei concetti più rilevanti introdotti dall’HLS, il “Risk based thinking”, mettendolo in comparazione col concetto di analisi del rischio che troviamo nell’attuazione del D.Lgs. 231/2001. Iniziamo dicendo che negli ultimi anni si è assistito ad un incremento di attenzione al concetto di rischio che, nell’ambito dei sistemi di gestione e prima della nascita della HLS, era sostanzialmente inteso con un’accezione prettamente negativa.

Lo stesso approccio era ed è riscontrabile nella legislazione cogente: prendiamo ad esempio tutta la disciplina in tema di salute e sicurezza sul lavoro o in tema ambientale. Il rischio, in questi ultimi casi, è inteso come un evento da temere, una parentesi negativa in un principio di equilibrio controllato. Il rischio, essendo un evento “temuto”, deve quindi essere identificato, misurato, prevenuto, ridotto fino al principio ideale della sua eliminazione alla fonte.

Tale principio di rischio si avvicina molto a quello definito nell’ambito dei reati amministrativi, anche se il rischio in quanto tale ha una declinazione diversa: nell’ambito legislativo in tema di salute e sicurezza sul lavoro, il rischio viene definito come “probabilità di raggiungimento del livello potenziale di danno nelle condizioni di impiego o di esposizione ad un determinato fattore o agente oppure alla loro combinazione”1 dove il target è l’uomo.

Il rischio nei reati amministrativi

Nell’ambito dei reati amministrativi, il rischio da identificare e valutare (cd. “risk mapping” e “risk assessment”) viene inteso come la capacità della commissione del reato, in quanto i processi sensibili identificati, sia per i reati cosiddetti colposi che dolosi, non sono adeguatamente presidiati in termini di regole comportamentali (protocolli), organizzazione e governance, vigilanza e controllo nonché attuazione di tutto quanto previsto nel sistema dei presìdi identificati (efficacia/effettività del Modello).

Per la costruzione del Modello è necessario procedere ad una accurata analisi dei rischi aziendali (risk mapping) e una loro valutazione in termini di possibilità di accadimento del reato (risk assessment), che preveda: la definizione di una mappa documentata, specifica ed esaustiva, dei processi aziendali a rischio; l’elaborazione di una mappa documentata delle potenziali modalità attuative degli illeciti nelle aree di rischio individuate; la valutazione delle probabilità di accadimento dell’evento e dell’impatto dell’evento stesso.

 I rischi di compliance nella UNI ISO 37031:2021

Passando in modo specifico alla norma UNI ISO 37301:21, vediamo che i rischi di compliance comprendono:

• I rischi di compliance intrinseci (rischi affrontati dall’organizzazione in assenza misure di trattamento del rischio;
• I rischi di compliance residui (rischi non efficacemente tenuti sotto controllo mediante le misure esistenti di trattamento del rischio).

Il processo di valutazione dei rischi di compliance, punto 4.6 e punti A.4.5 e A.4.6 dell’Appendice, prevede che l’organizzazione debba:

• Identificare, analizzare e ponderare i propri rischi di compliance mettendo in relazione i propri obblighi di compliance con la propria attività, i propri prodotti/servizi e gli aspetti rilevanti delle proprie attività operative, partendo dagli obblighi di compliance più rilevanti per il business e, successivamente focalizzarsi su tutti gli altri obblighi di compliance (principio di Pareto).
• Valutare i rischi di compliance considerando le cause radice e le fonti di non compliance e le relative conseguenze, includendo inoltre le probabilità di accadimento. Le conseguenze possono comprendere, per esempio, danni a persone e ambiente, perdita economica, danno reputazionale, modifiche di natura amministrativa, responsabilità legali di natura civile e penale.
• Valutare anche i rischi di compliance relativi ai processi affidati all’esterno e di terze parti.
• Effettuare la valutazione su base periodica e ogni qual volta vi siano cambiamenti sostanziali a livello di condizioni o di contesto organizzativo.
• Conservare informazioni documentate circa il processo di valutazione dei rischi di compliance e le azioni per affrontare i propri rischi.

Possiamo, dunque, affermare che il rischio mappato e sorvegliato dal sistema di gestione della conformità risulta quello della violazione di legge: l’adozione di un sistema standardizzato di presìdi sul la compliance comporta, in termini di sanzioni evitate, reputazione, fiducia degli stakeholder, un importante beneficio.

Norme volontarie e Modelli 231: parallelismi

La nuova norma ha una valenza ampia ed i concetti di “analisi di rischio” e di “compliance” possono essere applicati anche in ambiti diversi da quelli tipici dei gestori di sistemi, come ad esempio si rileva nella revisione delle “Norme di comportamento del Collegio Sindacale di società non quotate” predisposte dal Consiglio nazionale dei dottori commercialisti ed esperti contabili (CNDCEC, gennaio 2021).

Anche in questo ambito professionale, spesso “lontano” dai classici sistemi di gestione, i contenuti della nuova norma e della ISO 31000, possono assumere un importante ruolo metodologico e di indagine che ben si sposano con i nuovi e più stringenti obblighi di vigilanza sulle leggi e sullo statuto cui gli organi di controllo sono tenuti anche in materia di D.lgs. 231/01 e s.m.i.

Ma è quindi possibile affermare che il concetto di mappatura/identificazione, valutazione e gestione  del rischio come viene inteso nell’ambito del D.Lgs. 231/2001 non sia più simile a quello contemplato nel sistema di gestione della compliance di quanto pensiamo?

D’altronde, cos’è il Modello Organizzativo di Gestione e Controllo, se non un sistema di regole che parte dalla identificazione dei processi sensibili, passa dall’attuazione di regole operative (protocolli), prevede l’obbligo di vigilanza a più livelli, dove l’ultimo è operato da parte di un organismo indipendente (OdV per i Modelli 231 e Organismo di Certificazione per i Sistemi di gestione ISO)?

Infine, non è previsto un periodico riesame del Modello, ovvero Sistema di gestione, per garantire che sia sempre adeguato all’evoluzione legislativa, ai cambi dei processi aziendali “sensibili”, alla governance di chi deve garantire l’adeguato presidio ai diversi livelli? È ovvio che, posti in essere tali parallelismi, vediamo che gli strumenti del modello 231 e dei sistemi di gestione, in particolare quello della compliance, sono molto più simili di quanto pensiamo.

La COMPLIANCE INTEGRATA tra norma UNI 11961:2024 e modelli 231

Un volume pensato per chi vuole trasformare la nuova norma UNI sulla compliance in uno strumento operativo completo valorizzandone le sinergie con i modelli 231.

I sistemi di gestione integrati SICUREZZA – QUALITÀ – AMBIENTE – COMPLIANCE

Una guida che integra in un Sistema di Gestione Aziendale le norme ISO di natura più tecnica in tema ESHQ oltre a norme che quali l’anticorruzione, la gestione della sicurezza dell’informazione; la continuità operativa e la responsabilità sociale