Pubblicata la Norma ISO 37001:2016. Presentata in diretta streaming sul nostro canale Youtube, Sabato 15 Ottobre 2016

Finalmente ci siamo!

Il 14 Ottobre 2016 è stata resa disponibile al pubblico la prima revisione della Norma ISO 37001: 2016 “Anti-bribery management systems — Requirements with guidance for use” che riporta la data 2016-10-15.

Da questa data, le organizzazioni pubbliche e private hanno ufficialmente e formalmente la possibilità di adottare un linguaggio riconosciuto a livello internazionale per dimostrare la propria gestione e monitoraggio dei rischi anti-corruzione ed ottenere anche la certificazione di conformità del proprio Anti-Bribery Management System da parte di un ente certificatore indipendente, con tutto ciò che ne deriverà in termini di garanzie nei riguardi di tutti i propri stakeholder, inclusi clienti, stazioni appaltanti (rating di legalità e rating d’impresa) ed anche organi giudicanti, che non potranno non tenerne conto in sede di indagini e dibattimento.

Sabato 15 Ottobre 2016, alle ore 10.00 è stata effettuata una diretta streaming della durata di 30 minuti, tramite il canale Youtube di GIACC Italy, durante la quale il Presidente Strazzeri ha presentato i principali contenuti della nuova Norma e le implicazioni per le organizzazioni che intenderanno adottarla.

Questo è il link per raggiungere il canale Youtube di GIACC Italy.

Perché certificarsi ISO 37001?

Considerando l’entità delle sanzioni sempre più elevate che le varie legislazioni nazionali ed internazionali prevedono per i reati di corruzione, perché non far certificare il proprio “Sistema di Gestione Anti-Corruzione”?

Certo, la certificazione non è una garanzia assoluta che attività corruttive non si verifichino presso un’azienda, ma grandi sono i vantaggi del processo di certificazione, incluso quello di portare un’evidenza certa “di aver adottato modelli organizzativi di prevenzione e di contrasto della corruzione” ai fini del Rating di Legalità per gli appalti pubblici in Italia.

A tal proposito, a metà del mese di ottobre, è prevista la pubblicazione della nuova norma ISO 37001 sui requisiti dei Sistemi di Gestione Anti-Corruzione che potranno, quindi, essere certificabili. La norma ISO 37001 è stato creata dal Comitato Tecnico ISO/PC 278, composto da delegati provenienti da tutto il mondo, compresi i migliori e più brillanti leader di pensiero del mondo, studiosi e dirigenti d’azienda, presieduti da Neill Stansbury, già Presidente del Global Infrastructure Anti-Corruption Centre (GIACC), con sede a Londra e del quale chi vi scrive è Presidente dell’affiliata italiana GIACC Italy.

Questo ha prodotto uno standard internazionale che soddisfa le aspettative di Stati Uniti, Regno Unito, Italia, Germania, Canada e altre autorità giudiziarie in tutto il mondo, che da anni applicano le proprie normative nazionali (FCPA, UK Bribery Act, D.Lgs. 231/01, ecc).

Costruire il proprio Sistema di Gestione Anti-Corruzione all’altezza delle aspettative dei regolatori internazionali, così da evitare interpretazioni riduttive dello stesso da parte degli organi inquirenti e giudicanti stranieri, ha valore inestimabile per un’organizzazione che intenda tutelare al meglio i propri Asset.

Allora perché non certificare il vostro Sistema di Gestione Anti-Corruzione ai sensi della ISO 37001?

In questo articolo, anziché limitarci all’elencazione degli ovvi benefici, proveremo a fare gli “avvocati del diavolo”, auto-ponendoci alcune obiezioni.

Prima obiezione.

Ottenere la certificazione ISO 37001 non protegge la mia azienda dagli organi inquirenti e giudicanti. 

Questo è vero, ma solo se ci limitiamo ad un’analisi superficiale. L’organizzazione non potrà esibire il certificato ISO 37001 agli organi giudicanti come una “bacchetta magica” per evitare ogni tipo di sanzione. Tuttavia, nel processo di certificazione, un ente certificatore indipendente verificherà che l’organizzazione abbia adottato una serie di azioni che portano naturalmente alla mitigazione del rischio e, quindi, del livello di responsabilità. Queste includono:

– L’esecuzione di una corretta valutazione dei rischi e l’attuazione o la convalida dei controlli per mitigare tali rischi

– L’evidenza che l’addestramento sia stato fornito per i soggetti a rischio

– La tenuta in ordine della documentazione nel rispetto delle politiche e procedure aziendali

– La gestione di un proporzionale processo di due diligence sulle terze parti ad alto rischio

– Il massimo coinvolgimento del Top Management nel perseguimento delle politiche aziendali.

Quindi, l’efficace attuazione e la certificazione ISO 37001 del proprio Sistema di Gestione Anti-Corruzione non porta ad una automatica presunzione di innocenza, ma diminuisce di molto le probabilità di avere un problema di corruzione nell’ambito dell’organizzazione stessa.

Seconda obiezione.

La norma ISO 37001 è solo una check-list per cui le organizzazioni si limiteranno ad adempiere il minimo previsto dalle disposizioni di legge, giusto per ottenere un certificato.

In effetti, lo spirito dei processi di certificazione richiede alle aziende di ragionare ad un più alto livello, superando la mentalità della check-list col “minimo sindacale”. Ma non possiamo nascondere che, ahimè, questa obiezione rappresenta un quadro veritiero di come moltissime organizzazioni intendano le certificazioni, soprattutto se non di stampo anglosassone.

Quando si guardano i questionari di due diligence di intermediari, agenti e fornitori, quanti di loro rispondono “Sì” quando gli viene chiesto se hanno adottato efficacemente un programma di conformità per l’etica, la politica anti-corruzione e la formazione relativa? Credo proprio che non siano tanti e che, tra quelli che rispondono positivamente, qualcuno non risponda al vero, consapevolmente o meno.

La verità è che l’attuazione di Sistemi di Gestione Anti-Corruzione ed Etici in generale è ancora nello “stadio dell’infanzia” in gran parte del mondo, dove non assolutamente prevista in certe zone. Più riusciranno, governanti, manager e consulenti di compliance ad imporre l’utilizzo di uno standard, più facilmente i responsabili della compliance di un’organizzazione potranno comprendere le esigenze di attuare programmi di conformità “efficaci” che contribuiscano a liberare il mondo dalla piaga della corruzione.

La norma ISO 37001 fornisce un punto di riferimento davvero globale per le organizzazioni di tutto il mondo che vogliano contribuire al raggiungimento di questo ambizioso obiettivo. Se la vostra organizzazione vuole andare al di sopra e al di là dei requisiti della norma ISO 37001, lo faccia con tutti i mezzi! Nessuno vieta di fare di più. Ma questo non significa che non vi sia alcun valore nell’avere uno standard globale, che comunque, come tale, deve essere genericamente impostato per essere adattabile a tutte le organizzazioni, sul quale operare le necessarie attività di adattamento.

Terza obiezione.

Sul mercato si “tufferanno” una moltitudine di enti certificatori e consulenti più o meno qualificati.

In effetti, così come accade in ogni settore del Risk & Compliance Management, non mancheranno le scelte per le attività di consulenza propedeutiche alla realizzazione dei Sistemi di Gestione Anti-Corruzione e per le attività di certificazione. Istintivamente, le organizzazioni che intendano attuare e farsi certificare un Sistema di Gestione Anti-Corruzione tenderanno a scegliere i “nomi” più noti a livello internazionale, pensando che solo questi potranno garantire il necessario livello di esperienza. Ma, attenzione!Non è il nome che conta, quanto la certezza del livello di esperienza dei singoli componenti i team di lavoro. Spesso, la grande firma della consulenza non invia presso le organizzazioni team composti da “guru” della materia, per cui non si ha la certezza del livello di competenza ed esperienza dei propri consulenti (per non parlare delle volte che vengono inviati dei junior consultants, entusiasti e volenterosi, ma niente più)… La chiave di volta è l’effettività delle competenze delle persone che, a vario titolo, si offriranno come consulenti, auditors, organi di vigilanza, formatori.

Competenze che devono essere certificate. Ma di questo ne parleremo in un prossimo articolo…

Francia: importanti aggiornamenti della legislazione anti-corruzione

france-lawNell’ultimo anno la Francia ha lavorato sul miglioramento della sua legislazione anti-corruzione al fine di raggiungere gli stessi standard degli Stati Uniti (FCPA), del Regno Unito (UK Bribery Act), del Brasile (Clean Company), dell’Italia (D.Lgs 231/01 – L. 190/12), per citare alcune delle disposizioni legislative più note.

(Scarica qui una presentazione che mette in relazione FCPA – UK Bribery Act – D.Lgs. 231/01).

Nel 1993, un grande passo avanti era stato fatto grazia alla Legge Sapin, dal nome del ministro che ha presentato la legge. Dal 2012, Michel Sapin è tornato al governo francese e sta lavorando sulla nuova versione della legge anticorruzione.

La scorsa settimana durante una conferenza, ha confermato che si è arrivati in dirittura d’arrivo, per cui è il momento di soffermarsi e capire se cambia qualcosa nella realtà e se davvero aumenta la capacità della Francia di perseguire le imprese francesi e non sospettate di corruzione nazionale e transnazionale.

Divieti: In primo luogo, dobbiamo notare che la legge non prevede significativi cambiamenti nelle pratiche vietate. La legislazione esistente è già una delle più rigorose al mondo e riguarda la corruzione passiva e attiva sia nazionale che internazionale, così come il traffico illecito d’influenze nazionale. I cosiddetti “Facilitation Payments” e la corruzione privata sono proibiti. La nuova legge estenderà il divieto anche al traffico illecito d’influenze internazionale. Le disposizioni relative ai libri e alle registrazioni contabili sono già previste dal diritto francese.

Compliance Programs: ecco qualcosa atteso da tempo. La legge francese ora istituzionalizza i Compliance Programs e l’attività professionale di compliance sulla prevenzione della corruzione. Tali programmi dovranno comprendere un Codice di Condotta, corsi di formazione, due diligence, una “whistleblowing line” e altre caratteristiche tipiche dei modelli di prevenzione. Riguardo la due diligence, il disegno di legge richiede alle aziende di effettuare la due diligence sui propri clienti e questo diventerà uno dei punti più complicati perchè, a seconda dei clienti, sarà spesso poco pratico e talvolta impossibile farlo. La legge richiede anche la due diligence sui fornitori di prima linea e sugli intermediari, con gli sforzi che ne deriveranno da parte delle aziende. Inoltre, l’azienda dovrà creare una mappatura dei suoi rischi di corruzione che dovrà prendere in considerazione anche gli eventi del passato, come elementi influenzanti gli esiti dell’analisi dei rischi.

Secondo l’articolo 8 del disegno di legge, l’obbligo di redazione dei Compliance Programs graverà su tutte le imprese con più di 500 dipendenti e con il fatturato di oltre 100 milioni di euro. Tale obbligo si applica:

– alle aziende che soddisfano tali requisiti

– ed a società appartenenti ad un gruppo di aziende, che rispondano a tali criteri. In quest’ultimo caso, la società madre deve avere la sede in Francia.

La legge assegna un periodo di sei mesi a partire dalla data di pubblicazione dell’atto per attuare i Compliance Programs.

La responsabilità di impostare un Compliance Program sarà sia dei dirigenti che dell’azienda stessa. Non riuscire a impostare un Compliance Program può portare ad unasanzione amministrativa fino a 200.000,00 euro ai dirigenti ed un 1.000.000,00 di euro nei confronti della società. Tali sanzioni dovrebbero essere inflitte dall’Agenzia per l’Anticorruzione, che ha determinato l’assenza di un adeguato programma di adempimenti, dopo che, comunque, i dirigenti e la società non siano riusciti a seguire le raccomandazioni dell’Agenzia per migliorare/attuare il Compliance Program entro un periodo stabilito, che può essere al massimo di tre anni.

Quello che salta agli occhi è che la sanzione non è penale e che il tempo assegnato a seguire le raccomandazioni può essere molto lungo per cui, molto probabilmente, le aziende francesi non saranno eccessivamente “stimolate” ad impostare rapidamente un Compliance Program. Inoltre, a differenza di quanto previsto dall’UK Bribery Act o dal Brasil Clean Company Act o dal D.Lgs. 231/01 in Italia (dove, addirittura il Modello di Organizzazione, Gestione e Controllo redatto ai sensi dell’art. 6 può avere efficacia esimente), non è espressamente indicato che avere impostato un Compliance Program sarà preso in considerazione nel quadro di un potenziale accordo finalizzato alla riduzione delle sanzioni, anche se difficilmente i giudici francesi si discosteranno molto da quanto fatto dai loro colleghi stranieri. Comunque, questo ulteriore particolare, per le aziende più piccole che non superano i criteri di obbligatorietà (500 dipendenti e 100 milioni di euro di fatturato) potrebbe essere un disincentivo all’impostazione di un Compliance Program.

Whistleblowers (informatori): i Whistleblowers hanno un ruolo significativo nello svelare atti di corruzione e dare sostegno alle attività investigative. La nuova Legge premierà la forte protezione dei Whistleblowers e definirà con precisione il percorso da seguire per rendere attuabile tale protezione. Inoltre, la denuncia anonima, che è stata vista negativamente fino ad oggi dalla potente agenzia francese sulla Privacy, è ora pienamente approvata dalla legge. Rivelare dati che possono portare a rivelare l’identità di un Whistleblower anonimo, potrà essere sanzionato con due anni di reclusione.

Clemenza: è già previsto che il singolo autore o complice di abuso d’ufficio, corruzione o traffico illecito d’influenza possa beneficiare di una riduzione della metà dei termini di reclusione se si presenta davani le autorità e permette alle stesse di arrestare il crimine o di identificare gli altri autori o complici.

Agenzia Anti-Corruzione: Il Service Central de Prévention de la Corruption, istituito nel 1993, che scarseggia di mezzi per adempiere alla propria mission, sarà sostituito dall’Agenzia Francese Anticorruzione, che sarà dotata di più ampie risorse umane e finanziarie ed alla guida della quale, è stato anticipato, ci dovrebbe essere la famosa “giudice anti-corruzione” Xaviere Simeoni, già nota per il suo lavoro in un caso di corruzione di alto profilo che coinvolge un ex presidente francese.

Tale agenzia avrà il compito di:

– fornire assistenza alle aziende nell’impostazione del proprio Compliance Program,

– eseguire i controlli,

– sanzionare i Compliance Programs considerati inefficienti e

– supervisionare le attività di monitoraggio (una sorta di commissariamento).

E’ prevista la pubblicazione di Linee Guida che saranno emanate dall’Agenzia, sullo stile di quelle emanate negli Stati Uniti o nel Regno Unito.

Applicazione: è stato istituito nel 2014 un nuovo Ufficio del Procuratore Generale per i crimini finanziari, tra cui la corruzione. Tale ufficio collabora attivamente con i vari servizi amministrativi, quali TRACFIN del Ministero dell’Economia e delle Finanze. L’ufficio è stato creato con 15 giudici e 10 dipendenti e le sue risorse sono state significativamente migliorate nel 2015 e nel 2016. L’ufficio sta indagando sempre su più casi, compresa la corruzione transnazionale; la maggior parte di loro non sono ancora pubbliche.

Il motivo principale per cui la giustizia francese non ha sanzionato definitivamente nessuna società per la corruzione transnazionale è la durata della procedura e la difficoltà di trovare prove rilevanti. Nessun accordo è stato possibile, per cui le aziende hanno dovuto essere portate in tribunale. Questo problema è ora superato con la possibilità per le aziende di patteggiar un accordo (limitatamente agli atti di corruzione, traffico d’influenza illecita e riciclaggio di denaro) senza esplicitamente ammettere la propria colpa.

L’applicazione da parte delle autorità francesi è ora anche extraterritoriale e permette di perseguire i crimini commessi completamente al di fuori della Francia.

Sanzioni: in termini di sanzioni, la Francia vanta una delle leggi più severe al mondo: 10 anni di reclusione e una sanzione penale di 1 milione di euro, che può essere aumentata fino al doppio dei profitti realizzati attraverso il crimine, per l’atto corruttivo individuale. Tale sanzione penale viene moltiplicata per cinque per atti corruttivi aziendali. Le sanzioni comprendono anche la pubblicazione della sentenza, l’esclusione da gare pubbliche o, addirittura, la liquidazione della società.

Una nuova sanzione introdotta con la legge è un’attività di monitoraggio (una sorta di commissariamento) imposta sotto la supervisione dell’Agenzia di Anticorruzione (che non agirà direttamente come soggetto monitorante) per un massimo di tre anni.

Inoltre, in caso di accordo, l’azienda deve comunqu pagare:

– fino al 30% del suo fatturato medio annuo calcolato in base ai tre anni fiscali precedenti,

– i costi della procedura e degi consulenti legali, finanziari, contabili e fiscali e

– i danni alle vittime, se identificate.

Un accordo da parte della società non preclude alle autorità di perseguire gli individui. Un comunicato stampa da parte dell’Ufficio del procuratore generale renderà noto l’accordo.

Prescrizione: la prescrizione è di tre anni a partire dal momento in cui i fatti illeciti possono essere rilevati dalle autorità, se fossero nascosti.

Conclusioni: la legislazione francese sta per “allinearsi” ai livelli di severità delle altre legislazioni nazionali. Come sempre, al di là del peso che i giudici potranno dare in sede di definizione delle sanzioni, l’attuazione di idonei Compliance Programs (o Modelli Organizzativi, o Adequate Procedures, che dir si voglia) è un passo imprescindibile da parte di ogni organizzazione, in primo luogo per provare a prevenire attività corruttive di ogni genere ed, in secondo luogo, per cercare di attenuare l’entità delle sanzioni applicabili, qualora si dimostri che gli atti incriminati siano stati commessi eludendo fraudolentemente i protocolli comportamentali ed i controlli effettivamente attuati.

La pubblicazione della ISO 37001 sarà strumento utilissimo anche per le aziende d’Oltralpe (che operano a livello nazionale ed internazionale), o per quelle straniere che operano in Francia o con aziende francesi, per definire un linguaggio comune con cui stabilire protocolli comportamentali e presidi di controllo uniformi, tali da rendere il “livello di rischio bribery” il più basso possibile.