Che cosa sono i flussi informativi verso l'Organismo di Vigilanza
I flussi informativi sono le informazioni che le funzioni aziendali trasmettono periodicamente all'Organismo di Vigilanza perché possa fare il proprio lavoro: verificare che il Modello 231 funzioni davvero e non resti un documento in un cassetto. Senza quei flussi l'OdV non vigila, controlla a campione quello che riesce a vedere.
Non è una prassi facoltativa. L'art. 6, comma 2, lettera d) del D.Lgs. 231/2001 chiede espressamente che il Modello preveda «obblighi di informazione nei confronti dell'organismo deputato a vigilare sul funzionamento e l'osservanza dei modelli». È uno dei requisiti che un giudice guarda quando deve stabilire se il Modello era idoneo ed efficacemente attuato: due condizioni distinte, e la seconda si dimostra con le carte, non con le intenzioni.
Perché l'efficace attuazione si dimostra con le date
Nei procedimenti 231 la contestazione più frequente non è l'assenza del Modello: è la sua mancata attuazione. Un Modello adottato dal consiglio di amministrazione e mai alimentato da flussi informativi è, agli occhi di chi giudica, un Modello sulla carta.
Ciò che sposta l'ago della bilancia è la prova documentale: quando l'OdV ha chiesto un'informazione, a chi, con quale periodicità, che cosa ha ricevuto, che cosa non ha ricevuto e come ha reagito ai silenzi. Un archivio di email sparse su caselle diverse non è una prova ordinata; un registro datato sì.
Quali flussi servono davvero
Non esiste un elenco di legge: i flussi si costruiscono sulle aree di rischio mappate nella parte speciale del Modello. Nella pratica quasi tutti gli Organismi lavorano su un nucleo ricorrente:
- Flussi finanziari e bilancio — pagamenti anomali, note di credito rilevanti, operazioni infragruppo, consulenze. Direzione amministrativa, di norma trimestrale.
- Rapporti con la Pubblica Amministrazione — gare, autorizzazioni, ispezioni, contributi pubblici, verifiche fiscali. Sono l'area dei reati presupposto storici del 231.
- Appalti, acquisti e fornitori — affidamenti diretti, deroghe alle procedure, qualifica dei fornitori, conflitti di interesse.
- Salute e sicurezza sul lavoro — infortuni, near miss, verbali degli organi di vigilanza, esito delle riunioni periodiche ex art. 35 D.Lgs. 81/2008.
- Ambiente — autorizzazioni, gestione rifiuti, sversamenti, contestazioni.
- Sistemi informativi — incidenti di sicurezza, accessi anomali, gestione delle utenze privilegiate.
- Risorse umane — provvedimenti disciplinari, in particolare quelli legati a violazioni del Modello o del Codice Etico.
- Segnalazioni whistleblowing — in forma aggregata: numero, stato, esiti. Non il contenuto, e mai l'identità di chi ha segnalato.
Accanto ai flussi periodici stanno i flussi ad evento: notifiche che scattano quando succede qualcosa (un'ispezione, un infortunio grave, l'avvio di un procedimento) e che non possono aspettare la scadenza trimestrale.
Il punto delicato: whistleblowing e OdV non si mescolano
Dopo il D.Lgs. 24/2023 molte aziende hanno affidato all'Organismo di Vigilanza anche la gestione del canale di segnalazione. È una scelta legittima, ma va tenuta separata sul piano operativo: la riservatezza dell'identità del segnalante è tutelata dall'art. 12 del D.Lgs. 24/2023 e vale anche nei confronti dell'OdV, quando l'Organismo non è il gestore designato.
Nella prassi corretta l'OdV riceve statistiche anonime — quante segnalazioni sono arrivate, quante sono aperte, quante chiuse, in che aree di rischio ricadono — e non il testo né i dati identificativi. Un software che mostra all'Organismo il contenuto delle segnalazioni non sta facendo un favore a nessuno: sta creando un problema di conformità.
Perché Excel, PEC e cartelle condivise non reggono
Quasi tutti gli Organismi partono così, ed è comprensibile: un foglio con le scadenze, una casella PEC per raccogliere le risposte, una cartella condivisa per gli allegati. Il metodo regge finché l'OdV ha una società sola, referenti collaborativi e nessuno che chieda conto di com'è andata. Poi si rompe, sempre negli stessi punti:
- Le scadenze dipendono da una persona. Se chi teneva il foglio cambia ruolo o va in ferie a settembre, il giro di flussi salta e nessuno se ne accorge fino alla riunione successiva.
- I solleciti non si fanno. Scrivere una email a nove referenti, due volte, per ogni scadenza, è un lavoro che nessuno ha voglia di fare — e infatti non si fa.
- Le risposte arrivano in ordine sparso. Formati diversi, caselle diverse, allegati che pesano troppo e vengono mandati via WeTransfer con link scaduti.
- La prova è ricostruita a posteriori. Quando serve dimostrare la vigilanza si va a cercare nella posta, e le date della posta non sono un registro.
- La relazione al CdA si riscrive da zero ogni volta, a mano, rileggendo mesi di email.
Come funziona con un software per l'OdV
Un software di gestione dell'Organismo di Vigilanza non serve ad archiviare meglio: serve a togliere all'OdV il lavoro di rincorsa. Il ciclo, quando è fatto bene, è questo:
- Matrice dei flussi. Si parte da un modello standard — le aree di rischio ricorrenti — e lo si adatta alla società, invece di partire da un foglio bianco.
- Referenti per funzione. Ogni flusso ha un responsabile: è lui che riceverà le richieste, non un indirizzo generico che nessuno presidia.
- Richieste automatiche. Il sistema apre la richiesta e la invia con un anticipo fisso sulla scadenza (nella nostra piattaforma, 30 giorni). L'OdV non deve ricordarsi nulla.
- Solleciti automatici. A 14 e a 3 giorni dalla scadenza chi non ha risposto riceve un promemoria. Solo lui, non tutti.
- Risposta senza account. Il referente compila da un link personale, allega i documenti e invia. Non gli si crea un utente, non deve imparare un software.
- Registro datato. Richieste, solleciti, invii, allegati, verbali e verifiche restano a sistema con la loro data. È questa la prova della vigilanza.
- Relazione al CdA precompilata. I numeri del periodo — flussi ricevuti e mancanti, riunioni, verifiche del piano, segnalazioni in forma aggregata — sono già dentro. L'Organismo scrive il giudizio, non i dati.
Che cosa deve avere un software per l'Organismo di Vigilanza
Se state valutando uno strumento, questi sono i punti su cui vale la pena essere esigenti:
- Automatismi veri, non promemoria da impostare a mano: se le richieste non partono da sole, il problema resta.
- Referenti senza licenza: pagare un utente per ogni funzione aziendale che trasmette un flusso rende il sistema insostenibile.
- Scadenzario che risponda a una sola domanda — che cosa manca, e da chi.
- Registro dei rischi e piano di vigilanza integrati, non due file a parte.
- Verbali di riunione generati e archiviati insieme al resto.
- Separazione dal whistleblowing: statistiche aggregate sì, contenuti e identità no.
- Cifratura dei dati a riposo e server nell'Unione europea: i flussi contengono informazioni sensibili sull'azienda.
- Multi-società, se seguite più incarichi: ambienti separati, un solo accesso.
Quanto costa
Il mercato è ancora poco trasparente: molti fornitori trattano il modulo OdV come parte di una piattaforma GRC più ampia, con listini a preventivo e canoni a quattro cifre. Un abbonamento dedicato per una società si colloca oggi su poche decine di euro al mese: TrueSpeak OdV costa 49 € al mese o 490 € all'anno (IVA esclusa) e comprende tutte le funzioni dell'area, fino a cinque componenti dell'Organismo e un numero illimitato di flussi informativi.
Il paragone corretto non è con il costo di un software, ma con le ore che l'Organismo spende ogni trimestre a scrivere email di sollecito — e con il rischio di arrivare davanti a un'autorità senza poter dimostrare, data per data, di aver vigilato.
Da dove partire
Se l'Organismo è già nominato e il Modello adottato, il primo passo è mettere per iscritto la matrice dei flussi: chi trasmette che cosa, con quale periodicità. Se il Modello è in adozione, si può partire dallo schema standard e allinearlo mentre il Modello prende forma.
Abbiamo raccolto tutto questo in TrueSpeak OdV, il software per i flussi informativi dell'Organismo di Vigilanza: matrice precaricata, richieste e solleciti automatici, scadenzario, registro dei rischi, piano di vigilanza, verbali e relazione al CdA. Si attiva in pochi minuti e si disdice in autonomia.