Sempre più frequentemente il Legislatore adotta il criterio Risk based nella disciplina di ambiti settoriali o di aspetti particolari. E’ accaduto con la legge 190/2012 in tema di Antiriciclaggio, col GDPR, Reg. UE 679/2016 per la Privacy. Ma anche a livello codicistico, con l’art. 2428, Relazione sulla gestione in ambito societario e, da ultimo, con la novellazione dell’art. 2086  (giusta d.lgs. 14/2019) sulla Crisi d’impresa e l’insolvenza.

Ciò nondimeno, in ciascuna di tali normative la tipica metodica viene  declinata mediante criteri, logiche e finalità peculiari e distintive dello specifico aspetto/ambito normato.

Diversamente, la prassi invalsa del frequente e semplicistico utilizzo acritico delle tecnica del Risk Assessment aziendalistico in chiave di rilevazione e graduazione dei rischi-reato elencati dal Catalogo 231, risulta foriera di errori di risultato, nonché disfunzionale al fine richiesto.

Detta tecnica, nata nel 1992 col Co.So.Report e poi elaborata fino all’E.R.M., risponde all’obiettivo di rilevare e graduare le rischiosità tipiche ed insite nel processo imprenditoriale (cc.dd. “esternalità negative del ciclo d’impresa“), poco avendo a che fare con la diversa rilevazione di un rischio di “reato”.

L’applicazione di essa, ove non declinata attraverso gli istituti e le categorie propriamente giuridico-penalistiche (i.e. natura del reato, rilevazione dei requisiti soggettivi/oggettivi richiesti dalla singola norma incriminatrice, circostanze aggravanti/attenuanti, elemento psichico nell’agente, ecc.) non risulta idonea a realizzare gli output richiesti dall’art. 6 del Decreto 231.

Una Mappatura inadeguata al censimento dei singoli rischi-reato impedisce la corretta ed efficace azione di elaborazione di correlati Protocolli comportamentali special-preventivi, idonei a gestire (se non neutralizzare) le singole potenzialità di reato rilevate.

In verità, neanche i due tipici driver di cui si serve il Risk Assessment – ossia la “Probabilità” e “l’Impatto economico” – si conformano alla puntuale determinazione della magnitudo di un rischi di reato. Ad es., l’Impatto pregiudizievole viene correlato al rischio del sanzionamento dell’ente (i.e. condanna a sanzione pecuniaria o interdittiva), quando invece un afflittivo pregiudizio economico si produce molto prima della condanna dell’ente: già al momento della pubblicizzazione sui media delle indagini giudiziarie a suo carico.

A ben vedere, laddove la verificazione di un rischio impattante sul ciclo imprenditoriale impedisce il raggiungimento di il target di periodo prefissatosi dall’impresa, attraverso un re-setting della variabile negativa realizzatasi, resta possibile raggiungerlo nel futuro. Diversamente, la realizzazione di un fatto di reato qualificato ai fini 231, produce uno actu sempre un risultato (negativo) irreversibile per l’ente.

Tali riflessioni critiche all’insegna della non surrogabilità, dell’infungibilità e della non assimilabilità tra Risk Assessment aziendalistico e operazione di Mappatura delle potenzialità commissive dei reati di cui al numerus clausus  trovano recenti spunti di conferma giurisprudenziale.

La sent. Cass. Pen. 22 giugno 2017 n. 41.768 ha ribadito la diversità e non equiparabilità sostanziale e funzionale tra MOG 231 e i vari sistemi di gestione aziendale (anche certificati) come ad es. l’ISO UNI 9001.

Più di recente la sent. Cass. Pen. 28 maggio 2019 n. 29.538, con specifico riguardo ai due sistemi richiamati dall’art. 30, T.U. Sicurezza Lavoro (i.e. UNI INAIL e l’OHSAS18001) ha specificato che la sancita conformità di essi al sistema prevenzionale richiesto dal d.lgs. n. 81/2008 (i.e. presunzione relativa di conformità), non garantisce ex se tale risultato liberatorio con la sola adozione.

Ancorché ci si doti di uno dei due sistemi gestionali Antinfortunistici, resta in capo all’ente l’onere probatorio della concreta implementazione di esso, dell’adattamento alle caratteristiche dell’ente empirico, nonché del suo aggiornamento periodico.

Conclusivamente, é raccomandabile agli operatori l’effettuazione della nevralgica operazione di Mappatura dei rischi-reato mediante gli strumenti propriamente giuridici e nella stretta adesione al dettato dell’art. 6 del Decreto.

In tale ottica, risulterà essenziale il tracciamento dell’iter logico-applicativo approntato, predisponendo materiale documentale (“carte di progetto e di lavoro”) idoneo a tracciare e motivare il risultato dell’operazione. A dar conto del motivo che ha prodotto il riconoscimento o l’esclusione della concreta vigenza di un tipico rischio-reato; come a motivare l’assegnazione allo stesso di un determinato indice di gravità.

Tale documentazione risulterà, altresì, indispensabile all’ente per assolvere (nell’eventualità) l’onere probatorio in sede processuale post delictum, nonché a sostanziare ed agevolare la valutazione giudiziale di adeguatezza ed effettività dell’unitario Compliance Program adottato dall’ente.

In tale ottica e strumentalità, la predisposizione anticipata e volontaria di tale allegazione documentale può permettere, in una fase priva dello stress derivante da indagini giudiziali e dalla stessa verificazione di un reato, del materiale attestante (e comprovante alla bisogna) la conformità, completezza e vigenza del proprio MOG. Facilitando e concorrendo all’auspicata dichiarazione giudiziale di adeguatezza ed effettività dello stesso (rectius, esclusione del deficit organizzativo imputabile all’ente collettivo).