Quale deve essere la composizione dell’organismo di vigilanza e come deve funzionare per escludere la responsabilità dell’ente?
Si segnala la sentenza, relativa alla nota vicenda giudiziaria, con cui il Tribunale di Vicenza ha condannato i vertici della Banca Popolare di Vicenza, per i reati di aggiotaggio e ostacolo all’esercizio delle funzioni di vigilanza, nonché lo stesso istituto di credito, per la violazione dell’art. 25 ter comma 1 lett. r) ed s) D.Lgs. n. 231 del 2001 (Trib. Vicenza, Sez. Penale, 17.06.2021, n. 348).
La valutazione svolta dal Tribunale in ordine alla responsabilità dell’ente s’incentra, non tanto sulla adeguatezza del Modello 231 adottato, quanto sulla inidoneità della composizione dell’organismo di vigilanza nominato e sul malfunzionamento dello stesso.
In particolare, secondo il Tribunale:
- l’organismo di vigilanza non era indipendente in quanto “composto da soggetti non esenti da ingerenza e condizionamento da parte dei componenti dell’Ente, in particolare degli organi di vertice”. L’OdV era infatti composto dal direttore dell’Internal Audit presso la Banca, che dipendeva gerarchicamente e funzionalmente dai soggetti che era tenuto a controllare anche ai fini della responsabilità 231, mentre gli altri due membri erano avvocati che avevano ricevuto dalla società ingenti retribuzioni per incarichi esterni;
- l’attività di controllo svolta dall’OdV è stata insufficiente, posto che: “i verbali dell’OdV danno conto di un’attività assolutamente inconsistente, che si esaurisce in un esercizio formale della funzione, limitata ad un confronto con il responsabile della funzione compliance e il presidente del collegio sindacale su alcune tematiche di poco spessore, senza programmazione di alcuna autonoma attività di verifica […] e senza alcun minimo accenno a tematiche attinenti ad effettive criticità rilevate, nemmeno quelle afferenti i casi più eclatanti”.
- e ancora, l’OdV era sprovvisto di autonomi poteri di iniziativa e controllo: le attività di verifica dell’OdV erano tutte pianificate secondo un programma approvato dagli organi dirigenti e amministrativi, perciò era esclusa qualsiasi verifica a sorpresa;
- in caso di riscontro di illeciti l’unico potere riconosciuto all’Organismo di Vigilanza era la segnalazione da effettuare ai vertici della società, ovvero gli stessi soggetti controllati, senza alcun ulteriore potere di intervento autonomo;
- i flussi informativi verso l’OdV erano del tutto inadeguati: era prevista esclusivamente la segnalazione di eventuali violazioni al Presidente dell’OdV, attraverso un canale email inidoneo a garantire la riservatezza e la tutela del segnalante;
- infine, veniva riscontrata l’assenza di interventi sanzionatori da parte dell’organismo di vigilanza nonostante gli illeciti emersi.
A fronte di tali conclusioni, si possono ricavare alcuni principi da seguire nella scelta della composizione dell’OdV e del suo funzionamento:
- è sempre preferibile nominare nell’OdV membri esterni alla società, che non abbiano con la stessa altri rapporti in essere tali di limitarne l’indipendenza (oltre ovviamente all’individuazione di persone competenti e in grado di svolgere un’effettiva attività di controllo nell’interesse della società);
- occorre verbalizzare, oltre alle eventuali situazioni di criticità o illiceità riscontrate, anche tutte le attività di verifica e controllo, a maggior ragione quelle concluse senza aver accertato alcun elemento rilevante (a dimostrazione che i controlli sono stati svolti e che il reato è stato reso possibile da una condotta particolarmente elusiva);
- è necessario dotare l’OdV di autonomi poteri di iniziativa, con la possibilità di svolgere attività di verifica a sorpresa;
- bisogna creare un canale per le segnalazioni in grado di garantire la riservatezza del segnalante (ad esempio una mail dedicata accessibile solo ai membri dell’OdV);
- deve essere prevista la possibilità per l’OdV di segnalare gli illeciti riscontrati agli organi di controllo della società, come l’audit o il collegio sindacale, e di proporre le sanzioni adeguate da applicare ai dipendenti o ai vertici dell’azienda per i comportamenti da questi
