Di Stefano Barlini, MBA, Advanced in AI Audit, Certified CAIO, CIA, CISA, Certified 31000 Trainer, CCSA, QAR | Internal Audit & GRC Expert presso Compet-e
La Mappa delle Attività Sensibili 231 – così come intesa ed attuata dalla stragrande maggioranza delle aziende che hanno adottato un Modello 231 – è uno strumento del tutto inutile per gestire i rischi 231. È questa la conclusione a cui siamo giunti dopo aver analizzato un buon numero di cattive pratiche 231 censurate dai giudici nei casi specifici da loro affrontati e da noi analizzati e commentati.
Lo abbiamo dimostrato illustrando la straordinaria complessità che un Modello 231 deve (o meglio dovrebbe) gestire per raggiungere il suo vero e principale obiettivo: prevenire la commissione di uno o più reati nell’interesse o vantaggio dell’azienda e da cui possa derivare una o più sanzioni previste dal Decreto 231/01 con eventuali ulteriori conseguenze sfavorevoli per l’azienda stessa. Abbiamo definito “straordinaria” la complessità di un Modello 231 perché non esiste un analogo compliance program che sia chiamato a gestire così tanti e pesanti elementi di complessità, tra cui:
- il vasto numero di rischi-reato 231 (oggi +200) e conseguentemente delle relative modalità realizzative (stimabili in 1k-1.5k) e quindi delle attività sensibili (frequentemente +50) da governare con +100 misure di controllo e flussi informativi
- l’estrema dinamicità dei rischi 231 derivante – non tanto dai frequenti ampliamenti del catalogo dei rischi-reato con peggioramento dell’elemento di sopra – quanto dal continuo modificarsi delle “circostanze interne” di una qualsiasi organizzazione che vive e modifica su base continua i propri obiettivi, la propria organizzazione, i propri processi e le modalità e corrispondenti rischi con cui persegue tali obiettivi
- l’estrema eterogeneità dei rischi 231 (+25 classi di rischio diverse, ciascuna poi con una rilevante diversità al suo interno) che caratterizza e differenzia nettamente il compliance program 231 rispetto a qualsiasi altro compliance program (es. GDPR, NIS2, AML, SOX/262, etc.) ciascuno dei quali generalmente ne conta appena una
E in ultimo ma non per ultimo (anzi per primo in termini di complessità aggiuntiva):
- le interconnessioni tra rischi-reato, attività sensibili, modalità realizzative, contromisure ed ulteriori elementi componenti del Modello che sono molto fitte e tutt’altro che visibili “ad occhio nudo” e certamente non governabili con una o più tabelle su Excel® basate su una presunzione falsa (e pericolosa) che esista una relazione lineare tra rischi-reato 231 / attività sensibili e protocolli di controllo / controlli interni.
👉 In un sistema complesso quale il Modello 231, una variazione apparentemente marginale di un’attività sensibile o il fallimento operativo di un singolo presidio di controllo non rimangono circoscritti al relativo ambito di riferimento (“silos”), ma possono generare effetti a catena che si propagano attraverso le interconnessioni del sistema fino a compromettere l’idoneità complessiva del Modello, con conseguente responsabilità dell’azienda e applicazione delle sanzioni previste dal D.Lgs. 231/2001.
In altri termini, il Modello 231 – e con esso la Mappa delle Attività Sensibili posta alla sua base – non è una sommatoria di “silos” indipendenti, né una matrice lineare rischio-controllo gestibile mediante l’aggiunta di righe e colonne di una o più tabelle, come purtroppo in molti ancora propongono, ma piuttosto un sistema complesso caratterizzato da relazioni, dipendenze ed effetti sistemici emergenti tra i suoi elementi costitutivi.
Ma, prima di andare avanti, essendo questa una rubrica basata su dei casi giudiziari incentrati su cosa è andato storto nel mondo reale, dobbiamo premettere l’identificazione e analisi di una cattiva pratica 231 da cui trarre una lezione di interesse. E l’occasione ce la offre la recente sentenza della Cassazione n. 13945/2026 con cui la Suprema Corte – pur nell’ambito di un contenzioso civile – ha censurato per l’ennesima volta un caso di Paper Compliance 231 ribadendo che “qualunque sistema di compliance non può essere di tipo formale, relativo al modello esistente sulla carta, ma deve prospettarsi in grado di contrastare in concreto” gli specifici rischi a cui esso è diretto con finalità di prevenzione, nel caso di specie rappresentati dai rischi di “riciclaggio del danaro proveniente da attività illecite nelle svariate forme che esso può assumere”.
Poiché quasi tutte le metodologie e attuali strumenti usati nella Compliance 231 sono basati sulla falsa (e pericolosa) presunzione dell’esistenza di una relazione lineare tra rischi e controlli, proviamo adesso ad immaginare gli effetti della diffusione di modelli di AI – specialmente di tipo generativo – nella pratica della “paper compliance”:
- aggiornamenti formali dei Modelli e, all’interno di questi, delle mappe delle attività sensibili, delle policies e delle procedure, dei protocolli di controllo, etc. molto più efficienti, frequenti e formalmente ben eseguiti alla portata di molti (o forse di troppi)
- una maggiore, più insidiosa e diffusa illusione – da parte degli stakeholders – che i rischi 231 siano adeguatamente gestiti
- l’immutata incapacità sostanziale di contrastare / prevenire concretamente i rischi 231
- un fatto o incidente di rilievo 231 che porta il Modello formalmente ben aggiornato sotto la lente del giudice e alla prevedibile censura di paper compliance
- le pesanti sanzioni previste dal Decreto 231 (oltre alle ulteriori conseguenze sfavorevoli) in capo all’azienda riconosciuta colpevole
Sebbene non si possa definirlo un rischio AI in senso proprio, se non per certi aspetti un rischio di natura organizzativa nell’era dell’AI, derivante dall’overreliance sui suoi output, il risultato finale non cambia:
📌Il Modello 231 sulla carta – pur ben curato formalmente e anche frequentemente aggiornato grazie all’AI generativa alla portata di tutti (e forse di troppi) – non è e non sarà mai in grado di contrastare concretamente i rischi 231 e quindi di proteggere l’azienda dalle pesanti sanzioni 231.
E come al solito, sono adesso io a porvi una semplice e diretta domanda:
☝️Ma secondo voi una mappa delle attività sensibili 231 su un foglio Excel® integrata con qualche nuova riga o colonna per aggiornarla formalmente rispetto all’ultimo rischio-reato 231 introdotto dal legislatore, è in grado di contrastare in concreto un qualsiasi rischio 231?
Lascio che siate voi a dare a voi stessi la risposta più sincera e vi ringrazio di nuovo per avermi letto fin qui.
🤖Ma con CORA 231 – la Soluzione RegTech Anti-Sanzioni 231 è possibile far uscire il Modello dal cassetto (o meglio, dalla cartella dove custodite l’ultima versione dei file Word® e Excel®) per trasformarlo in uno strumento vivo e funzionale in grado di far monitorare efficacemente al Vostro OdV il sistema complesso 231 e le interconnessioni tra i suoi elementi componenti?
Non vi sorprenderete se anche questa volta, la nostra risposta è: “Yes, of course!”.
Portando il vostro Modello su CORA 231 alzerete definitivamente il livello di difesa della vostra azienda dai rischi e dalle conseguenti sanzioni 231. CORA 231 è l’unico software che, oltre a gestire efficientemente ed efficacemente le frequenti modifiche della vostra organizzazione, processi e attività, consente al Vostro OdV di monitorare efficacemente e su base continua i rischi e controlli, consentendogli di contrastare concretamente il rischio 231.
Inoltre, a differenza di qualsiasi altra soluzione, CORA 231 non è compatibile e quindi non può essere implementato in presenza di un Modello sulla carta, richiedendo – e allo stesso tempo efficacemente supportando – l’effettiva e concreta attuazione in azienda delle sue principali previsioni e misure.
Il risultato finale è che portando il vostro Modello su CORA 231 metterete il Vostro OdV nelle migliori condizioni per governare il Rischio 231. Su CORA 231 il Modello da statico (un documento Word® è sostanzialmente carta stampata), diventerà dinamico e finalmente vivo e funzionale, ma soprattutto sarà pronto per essere ulteriormente potenziato con l’Artificial Intelligence per predire l’esposizione ai rischi 231 ancora prima che qualcosa accada!
L’idoneità di un Modello 231 richiede sempre più una tecnologia adeguata e, soprattutto, tempo per farla realmente funzionare. Se desiderate scoprire come CORA 231 possa semplificare le vostre attività di compliance ed alzare definitivamente il livello di difesa del Vostro Modello 231, il momento di pianificarlo è adesso.
👉 Continuate a seguirci: nei prossimi articoli continueremo ad occuparci di altri casi reali di “Valutazioni di Rischio 231 a Sentimento”, per scoprire insieme quali sono stati i problemi emersi e quali possano essere le soluzioni già a disposizione per le aziende.