Il problema: tre sistemi, tre silos
Un'organizzazione italiana che partecipi a gare d'appalto sopra soglia comunitaria, che operi in settori regolamentati o che intrattenga rapporti con la pubblica amministrazione si trova oggi, con frequenza crescente, a mantenere simultaneamente tre apparati documentali e organizzativi distinti: il Modello di organizzazione, gestione e controllo adottato ai sensi degli artt. 6 e 7 del D.Lgs. 8 giugno 2001, n. 231; il sistema di gestione per la prevenzione della corruzione conforme alla norma ISO 37001; il sistema di gestione della compliance conforme alla norma ISO 37301:2021. Ciascuno di questi sistemi risponde a una logica propria, è stato costruito in un momento diverso della vita dell'ente, è presidiato da funzioni organizzative distinte e viene sottoposto a cicli di audit indipendenti gli uni dagli altri.
Il fenomeno non è marginale. Nella prassi consulenziale, è comune riscontrare organizzazioni nelle quali il Modello 231 è stato redatto da uno studio legale penalistico, il sistema ISO 37001 è stato implementato da una società di consulenza specializzata in sistemi di gestione e il sistema ISO 37301 è stato costruito dalla funzione compliance interna sulla base di un template commerciale. Il risultato è una triplicazione che non si limita ai costi di mantenimento — pure significativi — ma produce un effetto più insidioso: l'incoerenza strutturale fra i tre sistemi genera zone grigie nelle quali il rischio di non conformità si annida precisamente perché nessuno dei tre presidi lo copre in modo univoco, ciascuno presumendo che la copertura sia garantita dall'altro.
Questa frammentazione è tanto più paradossale se si considera che i tre sistemi condividono, in larga misura, il medesimo oggetto: la prevenzione di condotte illecite dell'ente e dei soggetti che operano nel suo interesse. La tesi che si intende sostenere in queste pagine è che l'integrazione architetturale di tali sistemi non rappresenti una mera razionalizzazione organizzativa, bensì produca un risultato qualitativamente diverso dalla somma delle parti, rafforzando l'idoneità complessiva del presidio di compliance in misura superiore a quanto ciascun sistema, isolatamente considerato, sia in grado di garantire.
Il D.Lgs. 231/2001: l'impianto fondamentale
Il D.Lgs. 8 giugno 2001, n. 231, ha introdotto nell'ordinamento italiano il principio della responsabilità amministrativa degli enti per i reati commessi nel loro interesse o a loro vantaggio da soggetti in posizione apicale o da persone sottoposte alla direzione o vigilanza di questi ultimi. L'art. 6, comma 1, del decreto stabilisce che l'ente non risponde se prova di aver adottato ed efficacemente attuato, prima della commissione del fatto, modelli di organizzazione e di gestione idonei a prevenire reati della specie di quello verificatosi. L'art. 7, comma 2, estende il medesimo meccanismo esimente ai reati commessi da soggetti sottoposti all'altrui direzione, subordinando l'esclusione della responsabilità alla dimostrazione che la commissione del reato è stata resa possibile dall'elusione fraudolenta dei modelli di organizzazione e gestione.
La giurisprudenza della Corte di Cassazione ha progressivamente precisato il contenuto del requisito di idoneità del Modello, chiarendo che la mera adozione formale non soddisfa il dettato normativo. Il Modello deve essere effettivamente attuato, regolarmente aggiornato, dotato di un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure in esso previste e sottoposto alla vigilanza di un organismo dell'ente dotato di autonomi poteri di iniziativa e di controllo, come prescritto dall'art. 6, comma 1, lettera b), del decreto. L'Organismo di Vigilanza (OdV) costituisce pertanto un elemento strutturale imprescindibile del sistema, la cui composizione, indipendenza e operatività concreta sono oggetto di valutazione da parte del giudice penale.
L'art. 25 del D.Lgs. 231/2001 — che tipizza i reati di concussione, induzione indebita e corruzione fra i reati presupposto — e l'art. 9, che elenca le sanzioni interdittive applicabili all'ente (dall'interdizione dall'esercizio dell'attività al divieto di contrattare con la pubblica amministrazione), delineano il perimetro sanzionatorio entro il quale il Modello organizzativo opera come strumento di prevenzione e, al contempo, come condizione per l'accesso al meccanismo esimente.
La ISO 37001:2025 — il sistema anticorruzione dopo la revisione
La norma ISO 37001:2025, pubblicata nel febbraio 2025 in sostituzione dell'edizione 2016, rappresenta un aggiornamento sostanziale e non meramente redazionale del sistema di gestione per la prevenzione della corruzione. Le organizzazioni certificate ai sensi della ISO 37001:2016 dispongono di un periodo di transizione che scadrà il 28 febbraio 2027, termine entro il quale dovranno conformarsi integralmente ai nuovi requisiti pena la perdita della certificazione.
Le innovazioni introdotte dalla revisione 2025 incidono su tre profili di particolare rilevanza operativa. In primo luogo, la norma richiede ora esplicitamente che l'organizzazione promuova una cultura anticorruzione documentata e misurabile, superando l'approccio puramente procedurale dell'edizione precedente; la conformità non può più essere dimostrata attraverso la sola esistenza di politiche e procedure, ma esige evidenze dell'effettivo radicamento dei principi anticorruzione nei comportamenti organizzativi. In secondo luogo, la ISO 37001:2025 introduce un requisito formale di gestione dei conflitti di interesse, che nell'edizione 2016 era trattato solo in termini generali nell'ambito della due diligence, e che ora richiede un sistema strutturato di identificazione, valutazione, dichiarazione e gestione delle situazioni di conflitto. In terzo luogo, la norma rafforza significativamente i requisiti di indipendenza operativa della funzione anticorruzione, che deve disporre di risorse proprie, accesso diretto all'alta direzione e all'organo di governo, e autonomia decisionale nell'esercizio delle proprie funzioni.
Questi sviluppi non sono teorici. La revisione del 2025 avvicina strutturalmente la ISO 37001 ai requisiti che la giurisprudenza italiana ha progressivamente elaborato in tema di effettiva attuazione del Modello 231: cultura organizzativa reale, non mera formalizzazione documentale; indipendenza degli organi di controllo; gestione attiva e non solo dichiarativa delle situazioni a rischio.
La ISO 37301: il sistema di gestione della compliance
La norma ISO 37301:2021 definisce i requisiti per un sistema di gestione della compliance applicabile a qualsiasi organizzazione, indipendentemente dal settore, dalla dimensione e dalla natura giuridica. Il suo oggetto è più ampio di quello della ISO 37001, poiché non si limita alla prevenzione della corruzione ma abbraccia l'intero spettro degli obblighi normativi — legislativi, regolamentari, contrattuali, settoriali — ai quali l'organizzazione è soggetta.
Il contributo specifico della ISO 37301 all'architettura di compliance risiede nella metodologia di identificazione e valutazione sistematica degli obblighi di conformità: la norma richiede che l'organizzazione mantenga un registro aggiornato di tutti gli obblighi applicabili, ne valuti il rischio di non conformità, definisca controlli proporzionati e monitori in continuo l'efficacia di tali controlli. Questo processo trasforma gli obblighi normativi — che nella prassi delle organizzazioni italiane rimangono spesso confinati all'ambito della consulenza legale esterna — in processi operativi misurabili, dotati di indicatori di performance, soglie di allarme e meccanismi di escalation.
La governance del sistema ISO 37301 è affidata a una funzione compliance dotata di requisiti di competenza, autorità e indipendenza che ricalcano, in ambito volontaristico, quelli che il D.Lgs. 231/2001 prescrive per l'Organismo di Vigilanza in ambito legislativo. Questa simmetria funzionale è uno degli elementi che rendono non solo possibile, ma auspicabile l'integrazione dei due sistemi.
I punti di sovrapposizione strutturale
L'analisi comparata dei requisiti dei tre sistemi rivela sovrapposizioni che non sono accidentali, ma derivano dalla condivisione del medesimo paradigma di gestione del rischio. Cinque aree, in particolare, presentano una convergenza tale da rendere la duplicazione non solo inefficiente, ma controproducente.
Valutazione del rischio
Il D.Lgs. 231/2001 richiede l'identificazione delle attività nel cui ambito possono essere commessi i reati presupposto. La ISO 37001:2025 impone una valutazione del rischio di corruzione che consideri fattori di rischio interni ed esterni, con metodologia documentata e risultati tracciabili. La ISO 37301:2021 prescrive una valutazione del rischio di non conformità per ciascun obbligo identificato. In tutti e tre i casi, la logica è identica: identificazione, analisi, ponderazione, trattamento. L'adozione di un'unica metodologia di risk assessment, che alimenti un registro dei rischi consolidato, soddisfa simultaneamente i requisiti di tutti e tre i sistemi, eliminando le incoerenze che inevitabilmente si producono quando tre valutazioni parallele sono condotte con criteri, scale e tempistiche differenti.
Due diligence e segnalazioni interne
I processi di due diligence su terze parti — richiesti dalla ISO 37001:2025 in termini espliciti, dalla ISO 37301:2021 in termini generali e dal Modello 231 nella componente relativa ai protocolli preventivi — costituiscono un secondo ambito di convergenza naturale. Il medesimo ragionamento vale per i sistemi di segnalazione interna, oggi disciplinati in modo puntuale dalla Direttiva (UE) 2019/1937 e dal D.Lgs. 10 marzo 2023, n. 24, che ha recepito la direttiva nell'ordinamento italiano stabilendo obblighi di istituzione di canali di segnalazione, tutela del segnalante e gestione delle segnalazioni applicabili trasversalmente a tutti e tre i sistemi.
La High Level Structure come abilitatore architetturale
La convergenza strutturale dei tre sistemi è ulteriormente facilitata dalla High Level Structure (HLS), ossia la struttura di alto livello comune a tutte le norme ISO di sistemi di gestione. Tanto la ISO 37001:2025 quanto la ISO 37301:2021 adottano la HLS, il che significa che i capitoli relativi a contesto dell'organizzazione, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni e miglioramento seguono un'architettura identica. Il Modello 231, pur non essendo una norma ISO, può essere strutturato in modo da seguire la medesima logica, poiché i suoi contenuti sono integralmente riconducibili alle clausole della HLS. L'adozione della HLS come struttura portante del sistema integrato consente di costruire un'unica architettura documentale nella quale ciascun requisito specifico di ciascun sistema trova la propria collocazione naturale.
L'architettura integrata: più della somma delle parti
L'integrazione dei tre sistemi non consiste nella giustapposizione dei rispettivi documenti in un unico raccoglitore, né nella redazione di una tabella di corrispondenza fra clausole. Consiste, piuttosto, nella costruzione di un'architettura unitaria nella quale ciascun elemento — politica, procedura, registro, controllo, indicatore, flusso informativo — è progettato per soddisfare simultaneamente i requisiti di tutti e tre i sistemi.
In termini concreti, l'architettura integrata si articola su un registro dei rischi unico, nel quale ciascun rischio è qualificato rispetto alla sua rilevanza ai fini del D.Lgs. 231/2001 (reato presupposto), della ISO 37001:2025 (rischio di corruzione) e della ISO 37301:2021 (rischio di non conformità). Le procedure operative — dalla gestione degli omaggi e delle sponsorizzazioni alla selezione e al monitoraggio dei fornitori, dalla gestione dei flussi finanziari alla governance dei rapporti con la pubblica amministrazione — sono redatte in modo da incorporare i controlli richiesti da tutti e tre i framework, senza duplicazioni e senza lacune. Il calendario di audit è unificato: un unico programma di audit interni copre l'intero perimetro del sistema integrato, con finding classificati per area normativa di riferimento ma gestiti in un unico processo di trattamento delle non conformità e delle azioni correttive. Il riesame della direzione, infine, diventa un momento unico nel quale l'alta direzione valuta le prestazioni complessive del sistema integrato, le tendenze del rischio, l'adeguatezza delle risorse e le necessità di miglioramento.
Il valore aggiunto qualitativo di questa architettura risiede nell'eliminazione delle zone grigie. Quando tre sistemi separati operano in parallelo, ciascun sistema tende a definire il proprio perimetro in modo restrittivo, escludendo ciò che percepisce come competenza dell'altro; è precisamente in queste intersezioni non presidiate che il rischio di non conformità si materializza. L'architettura integrata, per costruzione, non ammette tali lacune, poiché ogni rischio, ogni processo e ogni controllo è mappato rispetto a tutti e tre i sistemi di riferimento.
Il valore nei rating ESG e nei bandi PNRR
L'architettura integrata di compliance produce effetti misurabili anche al di fuori del perimetro strettamente penalistico e certificativo. Nel contesto dei rating ESG, le agenzie di valutazione attribuiscono rilievo crescente alla robustezza dei sistemi di governance anticorruzione e di compliance normativa, privilegiando le organizzazioni che dimostrano un approccio sistematico e integrato rispetto a quelle che esibiscono certificazioni isolate prive di coerenza architettonica.
Sul piano dell'evidenza pubblica, il Codice dei Contratti Pubblici (D.Lgs. 31 marzo 2023, n. 36) ha consolidato un sistema premiale nel quale le certificazioni di sistema di gestione — comprese quelle relative alla prevenzione della corruzione e alla compliance — rilevano ai fini della riduzione delle garanzie provvisorie e dell'attribuzione di punteggi premiali nelle procedure di aggiudicazione. Nei bandi finanziati dal PNRR, in particolare, le stazioni appaltanti tendono a valorizzare in misura significativa la presenza di sistemi di gestione certificati, e la dimostrazione di un'architettura integrata costituisce un elemento differenziante rispetto alla mera esibizione di certificati separati.
Il rating di legalità attribuito dall'Autorità Garante della Concorrenza e del Mercato (AGCM) e il rating di impresa dell'Autorità Nazionale Anticorruzione (ANAC) rappresentano ulteriori ambiti nei quali l'adozione di un sistema integrato produce effetti favorevoli. In entrambi i casi, la valutazione tiene conto non solo dell'esistenza formale di modelli e sistemi di gestione, ma anche della loro effettiva attuazione e della coerenza complessiva del presidio organizzativo. Un'architettura integrata, in quanto intrinsecamente coerente e operativamente unitaria, soddisfa questi requisiti in misura superiore a un insieme di sistemi disgiunti.
L'Organismo di Vigilanza nell'architettura integrata
L'adozione di un'architettura integrata impone una ridefinizione del ruolo dell'Organismo di Vigilanza, che non può più limitarsi alla vigilanza sul funzionamento e sull'osservanza del Modello 231 in senso stretto, ma diviene il nodo centrale di un sistema informativo unitario. Il mandato dell'OdV, nell'architettura integrata, si estende alla ricezione e all'analisi dei flussi informativi provenienti dalla funzione anticorruzione (ISO 37001:2025) e dalla funzione compliance (ISO 37301:2021), alla valutazione delle risultanze degli audit integrati e alla formulazione di raccomandazioni che tengano conto dell'intero perimetro del sistema.
Questa estensione non implica che l'OdV debba assumere la titolarità delle funzioni di compliance e anticorruzione, il che ne comprometterebbe l'indipendenza e la terzietà che l'art. 6 del D.Lgs. 231/2001 gli impone. Implica, piuttosto, che i flussi informativi fra l'OdV e le funzioni operative del sistema integrato siano progettati in modo da garantire all'Organismo una visione complessiva e tempestiva dello stato di conformità dell'ente, senza sovrapporre ruoli di vigilanza e ruoli di gestione. La struttura dei flussi informativi — periodicità, contenuto, formato, escalation — deve essere formalizzata nel regolamento dell'OdV e nelle procedure del sistema integrato, così da garantire tracciabilità e completezza.
La composizione dell'OdV nel contesto integrato
Nel contesto di un'architettura integrata, la composizione dell'OdV assume rilevanza ulteriore. La presenza, all'interno dell'Organismo o fra i suoi consulenti stabili, di competenze in materia di sistemi di gestione anticorruzione e di compliance normativa diviene funzionale alla capacità dell'OdV di esercitare una vigilanza effettiva sull'intero perimetro del sistema. La giurisprudenza ha più volte sottolineato che l'idoneità del Modello 231 dipende, fra l'altro, dalla capacità dell'OdV di comprendere e valutare i rischi specifici dell'organizzazione; nel contesto integrato, questa capacità deve estendersi ai rischi coperti dalla ISO 37001:2025 e dalla ISO 37301:2021.
Conclusione operativa
La scadenza del periodo di transizione alla ISO 37001:2025, fissata al 28 febbraio 2027, apre una finestra operativa che le organizzazioni possono utilizzare non semplicemente per aggiornare il proprio certificato anticorruzione, ma per riprogettare l'intera architettura di compliance secondo una logica integrata. L'aggiornamento della norma anticorruzione impone comunque una revisione della documentazione, dei processi e dei controlli esistenti; estendere tale revisione alla costruzione di un sistema unitario che incorpori anche i requisiti del D.Lgs. 8 giugno 2001, n. 231 e della ISO 37301:2021 comporta un incremento marginale di investimento a fronte di un salto qualitativo nella robustezza del presidio complessivo.
L'esperienza maturata da GM Consulting nell'accompagnamento delle organizzazioni italiane nella progettazione e nell'implementazione di architetture integrate di compliance conferma che il passaggio dal modello a silos al modello unitario richiede competenze interdisciplinari — giuridiche, organizzative, di sistemi di gestione — e una metodologia rigorosa di mappatura, progettazione e implementazione. Le organizzazioni interessate ad approfondire questo percorso possono consultare le aree di intervento dedicate alla governance organizzativa, dove sono descritti gli approcci metodologici che GM Consulting adotta per costruire sistemi di compliance che siano non soltanto conformi ai rispettivi standard di riferimento, ma operativamente coerenti e sostenibili nel tempo.