L'art. 6 del decreto legislativo 231/2001 si limita a richiedere in modo esplicito che l'Organismo di Vigilanza sia dotato di “autonomi poteri di iniziativa e controllo”. Le Linee Guida si sono soffermate sull'argomento e, riprendendo quanto affermato dalla giurisprudenza, indicano autonomia, indipendenza, professionalità e continuità d'azione come i principali requisiti che i membri dell'OdV devono possedere, singolarmente oppure con riferimento all'organismo in quanto tale. Questo tema sarà al centro dell’analisi empirica svolta sugli OdV di un campione di società quotate al FTSE MIB che verrà descritta nel terzo capitolo di questo elaborato. Nel concreto, tali requisiti devono essere definiti nel modello organizzativo, anche facendo rinvio a quanto previsto per altri settori dalla normativa societaria (ad esempio in caso di amministratore indipendente, sindaco, etc.).
Emerge inoltre, dall'analisi del dato giurisprudenziale, che i membri non devono essere stati condannati per un reato previsto dal D.Lgs. 231/01.
28 MASIA V., Servizio prevenzione protezione (SPP) e Organismo di Vigilanza (OdV), tra obbligatorietà e autodeterminazione dell'ente nella nuova dimensione prevenzionale, in La responsabilità amministrativa delle società e degli enti, 2009, fascicolo 1, p. 10 ss.
3.1 Autonomia e indipendenza
I due aspetti sopra citati presentano talune similarità, ma non devono essere confusi fra loro.
Il requisito dell'autonomia si concretizza nella messa a disposizione dell'organismo degli strumenti necessari per l'espletamento dell'incarico29, mentre il requisito dell'indipendenza attiene maggiormente all'attitudine mentale dei componenti dell'OdV.
Un’altra differenza consiste nel fatto che il primo viene esplicitamente richiamato dal legislatore, che, come già visto, all'art. 6 del decreto prevede che l'OdV debba essere dotato di “autonomi poteri di iniziativa e controllo”; il secondo invece non è contemplato espressamente dalla legge, ma si evince in via interpretativa dal principio di effettività del controllo, infatti affinché il controllo sia efficace sono necessarie l'assenza di vincoli rispetto ai vertici aziendali e l'assenza di coinvolgimento nella gestione.
Secondo Confindustria, la posizione dell'OdV deve garantire l'autonomia dell'iniziativa di controllo da ogni forma d'interferenza e di condizionamento da parte di qualunque componente dell'ente: questo obiettivo sembra essere assicurato dall'inserimento dell'OdV come unità di staff in una posizione gerarchica elevata, prevedendo il riporto informativo al massimo vertice aziendale, ovvero al CDA.
29 La dottrina intende l'autonomia da un lato quale libertà di azione e di autodeterminazione, dall'altro quale attribuzione di poteri autonomi. Cfr. AA.VV., I modelli organizzativi ex D.Lgs. n. 231/2001: la responsabilità amministrativa delle imprese, Giuffrè, Milano, 2007, p. 174 ss. L'OdV deve avere piena libertà d'azione nella definizione del proprio regolamento operativo e del piano di audit, nella selezione delle attività di verifica e nell'organizzazione, in generale, del proprio lavoro. Deve essere dotato di poteri effettivi di ispezione e controllo, avere pieno accesso ai dati e alle informazioni aziendali rilevanti, avere a disposizione un budget adeguato, poter disporre della professionalità e dei supporti tecnici dell'internal audit e delle altre funzioni di controllo interno. Cfr. BASTIA P., I modelli organizzativi, in AA.VV., Reati e responsabilità degli enti, a cura di G. Lattanzi, Giuffrè, Milano, 2005, p. 162
Inoltre, è indispensabile che all'OdV non siano attribuiti compiti operativi e gestori, che ne minerebbero l'obiettività di giudizio.
I membri dell'OdV devono o comunque è conveniente che possiedano i requisiti soggettivi formali che garantiscano ulteriormente l'autonomia e l'indipendenza richiesta dall'esercizio della funzione, come ad esempio i requisiti di onorabilità, l'assenza di conflitti d'interesse, ecc., i quali devono essere specificati nel modello organizzativo.
Altri fattori che possono influenzare l'indipendenza sono le previsioni che devono essere contenute nel modello circa la durata dell'incarico e la possibilità di revoca30.
Una questione molto dibattuta e controversa è se i requisiti di autonomia e indipendenza debbano essere soddisfatti da tutti i membri dell'OdV oppure dalla sola maggioranza. Richiamando in sintesi quanto verrà esposto in tema di composizione, l'ODCEC di Torino ritiene che, con riferimento ai componenti esterni, i requisiti debbano essere riferiti ai singoli membri; nel caso di composizione mista, non essendo esigibile dagli insiders una totale indipendenza dall'ente, il grado di indipendenza dell'organismo va valutato nella sua globalità. Nell'ipotesi di composizione monocratica, l'assenza di conflitti d'interesse dovrebbe essere attentamente valutata con riferimento alla titolarità sia di compiti operativi che di eventuali funzioni di controllo già esercitate nell'ente.
3.2 Professionalità
Questo requisito si riferisce al bagaglio di strumenti e tecniche che l'organismo deve possedere per svolgere efficacemente l'attività assegnata. Un OdV dovrebbe essere equilibrato nella propria composizione, e quindi i suoi membri possedere
30 AODV231, Requisiti e composizione dell'organismo di vigilanza, position paper del 27 novembre
competenze aziendalistiche specifiche in materia di sistemi di controllo, competenze giuridiche in ambito penalistico e adeguate competenze tecniche. In ambito di competenze aziendalistiche si fa riferimento, ad esempio, alle tecniche di analisi e valutazione dei rischi, alle misure per il loro contenimento, al campionamento statistico, al flow-charting di procedure e processi per l'individuazione dei punti di debolezza, ad elementi di psicologia, alle metodologie di individuazione delle frodi, alle tecniche di intervista e di elaborazione di questionari, ecc.
Queste tecniche possono essere utilizzate in via preventiva e in modo continuo, per adottare le misure più idonee a prevenire la commissione dei reati, utilizzando quindi un approccio di tipo consulenziale e per verificare che i comportamenti quotidiani siano coerenti con quelli codificati nel modello; oppure a posteriori, per accertare le cause di malfunzionamento del modello che hanno condotto alla commissione di un “reato 231”, utilizzando in questo caso un approccio ispettivo. Le competenze penalistiche assumono rilievo in quanto la finalità principale dell'intera architettura del “modello 231”, ovvero prevenire i reati, è di carattere penalistico.
Alcuni reati (ad esempio in ambito di sicurezza sul lavoro, come già prima anticipato, di reati informatici, di reati ambientali di recente introduzione) richiedono competenze tecniche e strumenti specialistici, cui si può far fronte inserendo nell'OdV un membro con adeguata professionalità tecnica oppure fornendo all'organismo un budget che gli consenta di acquisire consulenze esterne su argomenti tecnici di interesse.
Come si vedrà nel terzo capitolo riveste un ruolo centrale nella composizione dell’OdV anche il background dei membri che ne fanno parte, e quindi le loro esperienze, il know how e la reputazione agli occhi degli stakeholders.
3.3 Continuità d’azione
Affinché il modello organizzativo sia efficace, si rende opportuna una struttura che verifichi costantemente la coerenza tra le attività svolte in concreto dal personale della società e i comportamenti previsti nel modello.
Il monitoraggio costante sull'effettività del modello richiede la continuità d'azione da parte dell'OdV, il quale deve dedicarsi alle proprie funzioni in modo sistematico.
È opportuno che vengano definiti dall'OdV, con un regolamento del proprio funzionamento interno, gli aspetti più operativi e pratici delle proprie attività e attinenti alla continuità d'azione, quali ad esempio la calendarizzazione delle attività, la verbalizzazione delle riunioni e la disciplina dei flussi informativi. Non è, invece, opportuno che tale regolamento sia redatto e approvato dagli altri organi societari, giacché questo potrebbe far ritenere violata l'indipendenza dello stesso.