La recente sentenza del Tribunale di Milano sui derivati Santorini e Alexandria di Banca Monte dei Paschi (che potete leggere per esteso qui) contiene molte interessanti affermazioni su responsabilità 231 delle società estere, valutazione giudiziale degli assetti organizzativi aziendali e condizioni in presenza delle quali, nonostante la commissione del reato presupposto da parte di un suo esponente, l’ente può andare esente da punizione.
Le sanzioni amministrative irrogate a Nomura e Deutsche Bank e l’accessoria confisca dell’ingente profitto da reato si fondano sul concorso nelle false comunicazioni sociali di Banca Monte dei Paschi di coloro i quali hanno agito nell’interesse o a vantaggio delle società estere nelle quali erano inseriti organicamente. Ciò significa che la responsabilità 231 può derivare anche dal reato riferibile ad altro ente (qui, Banca Monte dei Paschi), qualora gli esponenti degli enti stranieri (qui, Nomura e Deutsche Bank) abbiano concorso come estranei in detto reato “altrui”, ma nell’interesse o a vantaggio del loro ente. Tale principio, già affermato dalla giurisprudenza di legittimità a proposito dei gruppi societari (Cass., n. 52316/2016), attrae gli enti esteri nella responsabilità 231 proveniente dalla commissione di un reato presupposto assoggettato alla giurisdizione italiana.
Nell’assenza di un modello organizzativo costruito in accordo al D.lgs. n. 231/2001, il Tribunale esamina la struttura organizzativa di Nomura e Deutsche Bank e l’iter procedimentale che portò alla conclusione dei contratti incriminati “per verificarne l’adeguatezza, in termini di efficacia nella valutazione, indipendenza nella revisione dei rischi, coinvolgimento di tutte le funzioni di controllo indipendenti, condivisione collegiale delle decisioni finali”. L’esito del test risulta negativo per entrambi gli enti, perché i protocolli in uso apparivano concentrati sulla tutela degli interessi economici dell’ente (e non su evitare di contribuire alla commissione di reati) e caratterizzati da “falle talmente ampie da consentire di essere apertamente strumentalizzati ed utilizzati al fine di raggiungere lo scopo ultimo delle parti” (la contabilizzazione “addomesticata” dei derivati da parte di Banca Monte dei Paschi e le provvigioni da parte di Nomura e Deutsche Bank).
Più in concreto, tale giudizio negativo discende dal fatto che, pur avendo perfettamente compreso lo scopo esclusivamente cosmetico delle operazioni, prive di un effettivo razionale economico, e la problematicità degli aspetti contabili sul versante di Banca Monte dei Paschi, Nomura e Deutsche Bank si accontentarono delle rassicurazioni verbali sulla volontà del cliente italiano di operare correttamente. Ciò fu reso possibile “dalla mancanza di una effettiva divisione dei ruoli e delle funzioni decisorie e di controllo tra soggetti gerarchicamente indipendenti”, che rendeva gli assetti organizzativi e di controllo inidonei a prevenire reati del genere di quelli verificatisi a valle dei rapporti intercorsi con Banca Mps.
La difesa degli enti stranieri, centrata sull’esame “statico” dei modelli organizzativi e dei protocolli operativi, incontra secondo il Tribunale il “limite insuperabile, costituito dal mancato esame della vicenda concreta da cui è derivata la commissione dei reati-presupposto, in rapporto al Modello Organizzativo”. Le modalità organizzative di Nomura e Deutsche Bank sono state quindi esaminate (e bocciate) in concreto, per la loro capacità d’impedire il falso in bilancio di Banca Monte dei Paschi (o, meglio, che gli esponenti di Nomura e Deutsche Bank concorressero nei reati di falso in bilancio commessi dagli esponenti di Banca Monte dei Paschi anche grazie al loro concorso).
Non c’è dubbio che tale affermazione finisca per riferire agli modelli organizzativi ed all’organismo di vigilanza (nel caso di specie, ai corrispondenti presidi di compliance presenti nelle istituzioni finanziarie estere) un obbligo d’impedire l’evento criminoso, modellato su quello previsto dall’art. 40 comma 2 c.p., che il D.lgs. n. 231/2001 in realtà non contiene.
È lecito dubitare dell’esattezza di tale conclusione, verosimilmente influenzata dalle grandezze in gioco e dalla particolare problematicità dei due derivati. La responsabilità amministrativa degli enti è e rimane fondata su una “colpa di organizzazione”, ossia sulla violazione di misure organizzative volte a minimizzare il rischio di commissione di reati, e non sull’inosservanza di regole precauzionali finalizzate a prevenire l’altrui comportamento doloso. Se così è, il giudizio sull’idoneità del modello deve risolversi in un giudizio ex ante, funzionale alla verifica che il modello adottato dall’ente risponda alle esigenze di prevenzione enunciate dall’art. 6 comma 2 D.lgs. n. 231/2001.
Diversamente, il Tribunale di Milano ha operato un giudizio (largamente) ex post e ritenuto provata l’inidoneità degli assetti organizzativi degli enti esteri sulla base della partecipazione dei loro esponenti alle false comunicazioni sociali di Banca Monte dei Paschi. Così ragionando, il controllo demandato all’organismo di vigilanza finisce per cadere sui singoli atti gestori, e non sull’adeguatezza del modello organizzativo. È l’impostazione già assunta dalla giurisprudenza di legittimità nel caso Impregilo, nel quale l’inidoneità del modello organizzativo ad impedire la consumazione di un fatto di aggiotaggio venne fatta derivare dalla mancata previsione dell’invio all’organismo di vigilanza della bozza del comunicato incriminato e della possibilità, per esso, di esprimere una dissenting opinion (Cass., n. 4677/2014).
Quali conclusioni può trarre l’ente che intenda mettersi al riparo dall’eventualità d’incorrere in una violazione 231? La prima, fondamentale, è che il modello organizzativo idoneo è un organismo vivo e non un apparato asettico e impersonale, del quale l’impresa si possa prima dotare e, poi, dimenticare. I reati sorvegliati non sono soltanto quelli riferibili “personalmente” all’ente, ma pure quelli realizzati nella sfera dei terzi (clienti o fornitori, ad esempio) che entrano in rapporto con l’ente. Il controllo giudiziale sull’idoneità del modello e sull’attività dell’organismo di vigilanza è particolarmente penetrante e giunge ad esigere una concreta efficacia impeditiva della consumazione del reato presupposto.
Spazio allora a mappatura dei rischi e protocolli operativi tailor made; alla separazione delle funzioni di decisione (nessuno può poter gestire in autonomia un intero processo aziendale); ad una chiara disciplina dei poteri di delega e di firma; alla tracciabilità delle fasi decisionali; alla circolazione delle informazioni all’interno dell’ente; all’effettuazione di verifiche e controlli penetranti da parte dell’organismo di vigilanza sulle attività aziendali più significative economicamente e dal punto di vista del rischio di commissione di reati.