Di Stefano Barlini, MBA, Certified AI Officer, CIA, CISA, Certified 31000 Trainer, CCSA, QAR e Internal Audit & GRC Expert presso Compet-e.
Nei precedenti articoli ci siamo focalizzati su un buon numero di debolezze che i giudici hanno identificato e censurato proprio in relazione alla parte e componente più importante di un Modello 231: il risk assessment 231 generalmente documentato e cristallizzato nella Mappa delle Attività Sensibili. Nel fare ciò abbiamo rilevato che per poter prevenire un rischio, occorre comprenderlo e che per poterlo comprendere occorre esserne capaci. Abbiamo evidenziato come questa apparente semplicità, in ambito 231, raggiunga in realtà l’Everest della complessità per via di una serie di elementi quali:
- il vasto numero di rischi-reato 231 (oggi +200) e conseguentemente delle relative modalità realizzative (stimabili in 1k-1.5k) e quindi delle attività sensibili (frequentemente +50) da governare con +100 misure di controllo e flussi informativi;
- l’estrema dinamicità dei rischi 231 derivante – non tanto dai frequenti ampliamenti del catalogo dei rischi-reato con peggioramento dell’elemento di sopra – quanto dal continuo modificarsi delle “circostanze interne” di una qualsiasi organizzazione che vive e modifica su base continua i propri obiettivi, la propria organizzazione, i propri processi e le modalità e corrispondenti rischi con cui persegue tali obiettivi;
- l’estrema eterogeneità dei rischi 231 (+25 classi di rischio diverse, ciascuna poi con rilevante diversità al suo interno) che caratterizza e differenzia nettamente il compliance program 231 rispetto a qualsiasi altro compliance program (es. GDPR, NIS2, AML, SOX/262, etc.).
😵💫Eppure con tutti questi elementi non abbiamo ancora raggiunto la vetta della complessità dei compliance program 231!
Ne esiste, infatti, uno aggiuntivo e ancora più potente in termini di capacità di amplificare la già notevole complessità di un programma di conformità 231. Trattandosi di una rubrica basata su dei casi giudiziari, dobbiamo però anzitutto partire da cosa è andato storto nel mondo reale per poter ricavare il riscontro concreto di quello che poi andremo ad illustrare nel seguito del presente articolo.
Tra i vari casi giudiziari da cui saremmo potuti partire, abbiamo scelto quello trattato dal Tribunale di Milano con sentenza n. 10748 del 7 aprile 2021 in cui il Giudice ha sanzionato una società rilevando e contestando una “pluralità di reati commessi nello svolgimento della medesima attività“.
Senza entrare nel merito dei fatti, sulla base della sentenza citata, la responsabilità 231 dell’ente non è derivata da un’anomalia isolata e in relazione lineare con un singolo rischio, ma piuttosto dall’interconnessione complessa tra attività, rischi ed ulteriori elementi come le modalità realizzative. I giudici, infatti, evidenziano come le criticità operative emerse in un’area, tra l’altro reiterate e conosciute da più funzioni aziendali oltre che dallo stesso OdV, si stessero propagando da tempo trasversalmente all’interno dell’organizzazione. Ciò ha finito anche per incrementare molteplici rischi 231 connessi ad ulteriori attività sensibili lungo ulteriori e diversi processi aziendali, senza che ovviamente potesse venire intrapreso, in risposta a ciò, il necessario adeguamento complessivo delle contromisure.
🧐Emerge qui un ulteriore elemento di complessità e problema dei compliance program 231: lo storico approccio deterministico e lineare – ben cristallizzato in una mappa delle attività sensibili via, via integrata con nuove righe ad ogni aggiunta di un nuovo reato 231 – è stato ormai già da tempo messo in crisi e – perlomeno già agli occhi dei più attenti osservatori – rilevato come un esempio di malpractice.
Per anni i Modelli 231 (e non solo) sono stati costruiti con un approccio deterministico e lineare di questo genere:
Reato Presupposto (A) → Attività Sensibile (B) → Protocollo di Controllo (C)
Ancora oggi si sente diffusamente parlare e proporre di aggiornare la mappa delle attività sensibili in risposta a questa o quest’altra modifica del D.Lgs. 231/01, concretizzandosi poi l’intervento con l’aggiunta di nuove righe (e forse anche nuove colonne), già in numero eccessivo e che di fatto rendono ai più ormai illeggibile e inutilizzabile proprio lo strumento che più di tutti dovrebbe supportare le aziende e i loro OdV nella prevenzione dei rischi-reato 231.
👉Il rischio 231 non resta confinato nell’attività in cui nasce: si propaga lungo processi, funzioni, attività, modalità realizzative e relativi controlli. Un Modello costruito a silos non è conseguentemente in grado di intercettarne l’evoluzione e quindi di raggiungere il suo vero e unico obiettivo: <<scongiurare la perpetrazione>> di uno o più illeciti 231 nell’interesse o vantaggio dell’ente.
Per avere una prova ancora più forte della natura sistemica del rischio 231 che un Modello – in quanto sistema complesso i cui elementi sono tra loro interconnessi con relazioni, direzioni, intensità assai diverse – deve invece essere in grado di gestire, vi propongo di considerare gli aggiornamenti derivanti dall’introduzione in Italia della Legge 23 settembre 2025, n. 132. In applicazione dell’EU AI Act, la legge italiana non ha introdotto dei nuovi rischi-reato 231, ma delle aggravanti connesse a talune modalità realizzative (nella sostanza riconducibili all’uso con finalità illecita di sistemi di intelligenza artificiale) associabili a una o più attività sensibili già presumibilmente mappate e collegate ai rischi-reato 231.
In altri termini, sebbene il catalogo 231 formalmente non si ampli, certamente con l’uso dell’AI si moltiplicano le modalità con cui i reati 231 possono essere commessi e – per effetto dell’aggravante in esame – le corrispondenti sanzioni: ad esempio, i reati informatici (es. accesso abusivo, danneggiamento informatico, frode informatica, intercettazione illecita) se commessi con il supporto di intelligenza artificiale, vanno ora incontro ad un inasprimento delle sanzioni. Oppure, l’attività sensibile connessa all’impiego di finanziamenti pubblici potrebbe essere rivista integrandola con la modalità secondo cui l’azienda, per dimostrare di raggiungere determinati criteri richiesti dal bando in sede di consuntivazione, utilizza un’AI generativa per creare dati come documenti, foto di prototipi inesistenti o video-report di test mai eseguiti, così realistici da ingannare i revisori pubblici. E così via con tantissimi altri esempi di possibili modalità realizzative.
Provate a pensare a quanti Modelli di AI la vostra azienda stia già impiegando nei suoi vari processi. Una piccola modifica o fallimento di un controllo da una parte, può creare un gigantesco problema da tutt’altra parte dell’organizzazione e ciò non più in settimane o mesi, ma – considerata la tecnologia in esame – in pochi giorni o addirittura poche ore.
Quindi anche considerando la natura estremamente dinamica e non deterministica dell’AI, oltre ai suoi specifici rischi (AI Risk) del tutto nuovi rispetto a quelli IT tradizionali – come ad esempio il Model Drift – vi pongo ora io una domanda in ottica 231:
☝️Ma secondo voi una mappa delle attività sensibili 231 su un foglio Excel® integrata con qualche nuova riga o bullet aggiuntivo nell’elenco delle modalità realizzative associate a talune attività sensibili, è in grado seriamente di gestire il rischio che una deriva (drift) in un processo assistito in qualche modo dall’AI si propaghi istantaneamente a tutti gli altri?
Lascio che siate voi a dare a voi stessi la risposta più sincera e vi ringrazio di nuovo per avermi letto fin qui.
🤖 Ma con CORA 231 – la Soluzione RegTech Anti-Sanzioni 231 è possibile far uscire il Modello dal cassetto (o meglio, dalla cartella dove custodite l’ultima versione dei file Word® e Excel®) per trasformarlo in uno strumento vivo e funzionale in grado di far monitorare efficacemente al Vostro OdV la continua e sistemica evoluzione dei rischi 231?
Non vi sorprenderete se anche questa volta, la nostra risposta è: “Yes, of course!”.
Portando il vostro Modello su CORA 231 alzerete definitivamente il livello di difesa della vostra azienda dai rischi e dalle conseguenti sanzioni 231, aggiungendogli la capacità di raccogliere e gestire in maniera sistematica ed efficiente tutti i flussi informativi periodici e ad evento. CORA 231 è, infatti, l’unico software che, oltre a gestire efficientemente ed efficacemente le frequenti modifiche della vostra organizzazione, processi e attività, “fa muovere” rischi e controlli insieme alle continue modifiche di contesto, e non solo in occasione dell’aggiornamento dell’ultima versione del Modello.
Ma soprattutto, con CORA 231 non rischierete più di avere un Modello obsoleto proprio quando serve alla vostra azienda!
Il risultato finale è che portando il vostro Modello su CORA 231 metterete il Vostro OdV nelle migliori condizioni per governare il Rischio 231. Su CORA 231 il Modello da statico (un documento Word® è sostanzialmente carta stampata), diventerà dinamico e finalmente vivo e funzionale, ma soprattutto sarà pronto per essere ulteriormente potenziato con l’Artificial Intelligence per predire l’esposizione ai rischi 231 ancora prima che qualcosa accada!
L’idoneità di un Modello 231 richiede sempre più una tecnologia adeguata e, soprattutto, tempo per farla realmente funzionare. Se desiderate scoprire come CORA 231 possa semplificare le vostre attività di compliance ed alzare definitivamente il livello di difesa del Vostro Modello 231, il momento di pianificarlo è adesso.
👉 Continuate a seguirci: nei prossimi articoli continueremo ad occuparci di altri casi reali di “Valutazioni di Rischio 231 a Sentimento”, per scoprire insieme quali sono stati i problemi emersi e quali possano essere le soluzioni già a disposizione per le aziende.