La riforma del D.Lgs. 231/2001 può essere letta attraverso le molte novità che introduce. Ma la prospettiva più interessante emerge provando a leggerla al contrario: non dal Modello verso il reato, ma dal reato verso l’organizzazione.
La colpa di organizzazione diventa il criterio esplicito di imputazione e la contestazione dovrà individuare le carenze organizzative che hanno determinato o agevolato l’illecito. Il reato diventa così anche un punto di osservazione dal quale ripercorrere a ritroso il funzionamento dell’impresa.
È in questa prospettiva che acquista particolare significato una previsione apparentemente meno dirompente: il Modello dovrà descrivere il sistema dei controlli interni. Quella descrizione può diventare molto più di una sezione aggiuntiva del MOG. È la mappa attraverso cui ricostruire come il rischio ha attraversato l’organizzazione, quali presidi avrebbe dovuto incontrare, quali informazioni sono emerse e soprattutto cosa ne è stato fatto.
In questa lettura cambia anche il modo di guardare a OdV, Compliance e Internal Audit. Il tema non è attribuire a una funzione il primato sulle altre, ma comprendere se e dove il sistema abbia perso la capacità di trasformare un segnale in una decisione.
Ed è forse qui che la riforma tocca un nervo scoperto dei sistemi di controllo contemporanei. Negli anni le organizzazioni hanno moltiplicato presidi, funzioni specialistiche, reporting e assurance. Ma l’aumento dei controlli non produce necessariamente un aumento della capacità di controllo. Anzi, proprio la crescente specializzazione può generare discontinuità, sovrapposizioni e zone nelle quali l’informazione esiste senza diventare conoscenza organizzativa.
Anche la remediation prevista dalla riforma si inserisce nella stessa logica. L’ente può intervenire sulle carenze emerse, adeguare il Modello e, a determinate condizioni, ottenere l’estinzione dell’illecito. Non è soltanto la valorizzazione di ciò che accade dopo il reato. È il riconoscimento che un’organizzazione si misura anche dalla capacità di reagire a ciò che i suoi controlli non sono riusciti a prevenire.
Letta in questa prospettiva, la riforma sembra quindi spostare l’attenzione dai singoli presidi alle connessioni che li rendono un sistema. Ed è uno spostamento tutt’altro che marginale, perché porta la 231 dentro uno dei problemi più attuali della governance: organizzazioni sempre più presidiate, specializzate e controllate, nelle quali il rischio può annidarsi proprio nello spazio tra un controllo e l’altro.
Forse è questo il punto più interessante della nuova 231: non soltanto individuare ciò che non ha funzionato, ma rendere visibile ciò che, nell’organizzazione, non si è connesso.