Responsabilità degli enti, boom dei reati presupposto

Il secondo blocco, per dimensione, è quello dei reati societari (articolo 25-ter): 21 fattispecie presidiano un rischio non episodico, ma strutturale, perché si innesta nei processi fisiologici di governance (bilanci, comunicazioni sociali, operazioni sul capitale, controlli e flussi informativi). È un’area che non richiede soltanto procedure, ma adeguati assetti organizzativi - del resto imposti dall’articolo 2086, comma 2, del Codice civile - segregazione dei compiti, controlli endo-consiliari e tracciabilità decisionale, perché la responsabilità dell’ente si gioca sul “come” esso governa se stesso.

Seguono i reati tributari (articolo 25-quinquiesdecies), con 15 fattispecie rilevanti. L’impatto è duplice, perché da un lato estende le aree di rischio alle attività sensibili dell’ordinaria gestione fiscale (dichiarazioni, fatture, crediti, etc.), dall’altro costringe a integrare nel modello presidi tipici della tax compliance, come i controlli su dati, processi e fornitori, gli audit trail, la governance dei crediti e delle operazioni sensibili.

C’è poi un’area che potremmo definire tecnologica, sempre meno di nicchia rispetto al testo originario del Dlgs 231/2001. I delitti informatici e il trattamento illecito di dati (articolo 24-bis) contano 13 fattispecie; quelli in materia di strumenti di pagamento diversi dal contante (articolo 25-octies.1) altre dieci.

All’aumento quantitativo fa da pendant, nell’era dell’intelligenza artificiale, lo spostamento dell’asse del rischio verso i sistemi (accessi, credenziali, log, sicurezza, continuità operativa) e i flussi finanziari digitali. Il modello organizzativo dell’ente, per restare efficacemente attuato, deve dialogare costantemente con le nuove tecnologie, con la cybersecurity e con il sistema di controlli interni, altrimenti resta un documento che descrive rischi senza governarli.

L’originaria vocazione pubblicistica del Dlgs 231/2001 non è scomparsa, ma oggi i reati contro la Pa rappresentano una famiglia tra le altre. Gli illeciti si articolano in due blocchi:
1) l’articolo 24 (erogazioni, truffe e frodi), con otto fattispecie accomunate dalla tutela del patrimonio pubblico e del corretto impiego delle risorse;
2) l’articolo 25 (corruzione e reati affini), con dieci fattispecie poste a presidio della correttezza dei rapporti tra privato e amministrazione.

Il totale è 18 reati: un nucleo rilevante, ma non più baricentrico. Nel catalogo attuale, il rischio pubblico-amministrativo convive (e spesso arretra) con quello ambientale, societario, fiscale e digitale, segno di un sistema che ha spostato il fuoco dalla «tentazione del contatto» con la Pa alla gestione strutturale dei processi core, decisionali e operativi, dell’impresa.

Accanto ai grandi protagonisti, il decreto ospita reati riferibili a famiglie meno numerose, ma non per questo meno importanti per profilo di rischio o per beni giuridici tutelati. Tra questi i delitti in materia di salute e sicurezza sul lavoro (due), industria e commercio (otto), falsità in monete e segni (nove), diritto d’autore (sei), immigrazione irregolare (cinque), razzismo e xenofobia (uno) contrabbando (otto), patrimonio culturale (dieci) e tutela degli animali (cinque).

Da ultimo, e non certo per la minore importanza degli interessi tutelati, permangono aree “non censibili”, come per i reati di terrorismo e per la criminalità organizzata.

Il risultato è che il catalogo dei reati è diventato una matassa disomogenea «a perimetro mobile» che ha reso sempre più complessa la predisposizione dei modelli organizzativi esimenti.