“Quis custodiet ipsos custodes?”
L’interrogativo retorico di Giovenale risuona oggi con straordinaria attualità: la frequente emersione, sul piano investigativo e giudiziario, di articolati sistemi di acquisizione illecita di informazioni riservate mediante accessi abusivi a banche dati pubbliche impone una riflessione approfondita sul tema della responsabilità degli enti ai sensi del D.Lgs. 8 giugno 2001, n. 231.
Recenti vicende oggetto di attenzione mediatica e giudiziaria hanno infatti evidenziato l’esistenza di casi sempre più numerosi e gravi nei quali soggetti appartenenti ad imprese private si avvalgono della collaborazione di pubblici funzionari infedeli che, sfruttando le loro credenziali istituzionali e i poteri di accesso, effettuano consultazioni di sistemi informatici riservati per finalità estranee a quelle istituzionali.
La radice economica e strategica delle moderne violazioni è nel fatto che i dati sono il nuovo oro; d’altronde già sul finire del XVI secolo Francesco Bacone scriveva che “La conoscenza stessa è potere”.
Tali fenomeni assumono particolare rilievo sotto il profilo della responsabilità da reato degli enti, poiché l’accesso abusivo ai sistemi informatici non deriva, nella maggior parte dei casi, da condotte di intrusione esterna da parte di soggetti privi di autorizzazione, bensì dall’utilizzo improprio di credenziali e poteri di accesso legittimamente attribuiti a pubblici ufficiali in ragione delle loro funzioni.
La condotta illecita si realizza attraverso una deviazione funzionale dell’accesso consentito, utilizzato per finalità estranee ai compiti istituzionali e orientato al reperimento di informazioni destinate a soddisfare interessi privati o imprenditoriali.
La giurisprudenza consolidata in materia di art. 615-ter c.p. considera abusiva anche la condotta di colui che, pur formalmente abilitato all’accesso, utilizzi il sistema per finalità ontologicamente incompatibili con quelle per le quali l’autorizzazione è stata concessa.
In tali ipotesi, il privato che richieda, solleciti o utilizzi le informazioni ottenute mediante tali accessi può concorrere nel reato insieme al pubblico agente, assumendo una posizione di piena responsabilità penale personale.
Il tema assume ulteriore rilievo quando tali condotte vengano realizzate nell’interesse oppure a vantaggio di società operanti in settori caratterizzati da elevata competitività informativa, investigativa o commerciale.
In tali contesti, il reperimento illecito di dati riservati può costituire uno strumento di acquisizione di vantaggi economici, strategici o reputazionali, determinando il possibile coinvolgimento della persona giuridica ai sensi dell’art. 24-bis D.Lgs. 231/2001.
Il rischio “231”, pertanto, non riguarda esclusivamente l’autore materiale dell’accesso abusivo, ma investe direttamente il management societario che tolleri, favorisca o incentivi prassi operative fondate sull’utilizzo improprio di informazioni ottenute attraverso canali illeciti.
Le più recenti vicende giudiziarie mostrano come numerosi manager tendano ancora a sottovalutare la gravità di tali condotte, considerandole impropriamente strumenti informativi funzionali all’attività d’impresa.
Si tratta, invece, di comportamenti idonei ad integrare reati di particolare allarme sociale, caratterizzati non soltanto dalla lesione della riservatezza e della sicurezza informatica pubblica, ma anche dalla compromissione dell’imparzialità e del buon andamento della pubblica amministrazione.
La cooperazione tra soggetti privati e pubblici funzionari infedeli realizza una forma evoluta di criminalità economica e relazionale nella quale il patrimonio informativo pubblico viene trasformato in merce di scambio illecito a vantaggio dell’impresa.
In questo scenario, il D.Lgs. 231/2001 si configura come uno strumento volto a ricondurre l’esercizio dell’attività d’impresa entro un modello organizzativo fondato sulla responsabilità e sulla prevenzione del rischio penale.
Non a caso, la compliance aziendale rappresenta oggi uno dei principali presìdi attraverso i quali l’ordinamento tenta di contrastare la progressiva opacizzazione dei rapporti tra impresa e pubblica amministrazione e di rivitalizzare quell’etica della responsabilità invocata da Max Weber.
Nel contesto dei reati di accesso abusivo ai sistemi informatici, il valore preventivo del Modello organizzativo emerge con particolare evidenza poiché tali condotte raramente si manifestano come episodi isolati o occasionali.
Al contrario, esse tendono ad inserirsi in dinamiche aziendali caratterizzate da pressioni commerciali, esigenze investigative, attività di intelligence economica o ricerca di informazioni strategiche.
In tale contesto, il Modello 231 è chiamato a definire con chiarezza il perimetro delle condotte consentite, evitando che all’interno dell’organizzazione si consolidino prassi operative fondate sul ricorso a canali informativi illeciti.
A questo fine, l’attività di risk assessment costituisce il primo presidio essenziale.
La società deve individuare le aree aziendali maggiormente esposte al rischio di acquisizione illecita di informazioni, identificando i processi nei quali l’utilizzo di dati riservati possa generare vantaggi economici, competitivi o reputazionali.
Particolare attenzione deve essere riservata ad attività quali recupero crediti, sicurezza aziendale, funzioni antifrode, intelligence commerciale, gare pubbliche e processi di due diligence.
Una volta individuate le aree sensibili, il Modello organizzativo dovrà prevedere specifici protocolli preventivi.
Tra i principali strumenti operativi assumono rilievo l’introduzione di procedure formalizzate per la richiesta, l’acquisizione e l’utilizzo delle informazioni provenienti da fonti esterne, accompagnate da rigorosi obblighi di tracciabilità documentale.
Il Modello dovrebbe inoltre prevedere un espresso divieto di acquisizione di dati provenienti da pubblici ufficiali al di fuori dei canali istituzionali e legalmente autorizzati, nonché specifiche procedure di due diligence reputazionale nei confronti di consulenti, investigatori privati e intermediari.
Parimenti essenziale appare la previsione di adeguati meccanismi di segregazione delle funzioni, tali da distinguere chiaramente i soggetti legittimati a richiedere informazioni da coloro che ne autorizzano l’acquisizione e da coloro che ne utilizzano il contenuto.
Per le informazioni sensibili o riservate, il Modello dovrebbe imporre specifici obblighi di escalation autorizzativa, unitamente all’adozione di sistemi di logging e audit sui database aziendali e sulla circolazione interna delle informazioni.
Assume altresì rilievo l’introduzione di controlli sui flussi di comunicazione tra dipendenti aziendali e soggetti esterni istituzionalmente qualificati.
Di particolare importanza appare l’adozione di un codice etico che vieti espressamente il ricorso a “canali informativi privilegiati” ottenuti mediante relazioni personali con funzionari pubblici.
In molte realtà aziendali, infatti, il rischio non è rappresentato da ordini formalizzati, bensì dalla tolleranza culturale verso pratiche impropriamente considerate fisiologiche o funzionali al business.
Proprio su tale aspetto il Modello 231 è chiamato a incidere in maniera più significativa, trasformando il principio di legalità in regola operativa concreta.
Un profilo particolarmente delicato riguarda il rischio derivante dai rapporti informali tra manager aziendali e soggetti che si propongono come “facilitatori” nell’acquisizione di informazioni riservate o nell’accesso privilegiato a strutture pubbliche.
L’esperienza investigativa degli ultimi anni dimostra come numerosi fenomeni di criminalità economica e informatica si sviluppino mediante reti relazionali opache fondate sulla disponibilità di pubblici funzionari infedeli o di intermediari privati.
Il pericolo maggiore deriva dalla progressiva normalizzazione di relazioni parallele con soggetti che si presentano come in grado di “aprire canali”, “ottenere informazioni” o “attivare contatti interni” presso pubbliche amministrazioni e organismi investigativi.
Sotto il profilo penalistico, tali dinamiche possono assumere rilievo ben prima dell’effettiva acquisizione abusiva del dato.
La stessa disponibilità del manager a interloquire con soggetti che prospettino l’utilizzo improprio di relazioni istituzionali costituisce un significativo indicatore di rischio nell’ottica della responsabilità dell’ente.
Il Modello organizzativo deve quindi intervenire già nella fase genetica della relazione opaca tra impresa e soggetti che si dichiarino in grado di accedere a informazioni riservate attraverso canali extra ordinem.
In questa prospettiva, il Modello 231 dovrebbe prevedere un espresso divieto di instaurare o mantenere rapporti professionali, consulenziali o informali con soggetti che millantino relazioni privilegiate con pubblici ufficiali.
Tali divieti dovrebbero essere accompagnati da specifici protocolli di controllo sui rapporti esterni instaurati dai dirigenti e dai responsabili delle funzioni sensibili.
Parimenti necessario risulta prevedere verifiche sull’effettiva legittimazione professionale dei consulenti, obblighi di tracciabilità degli incontri e delle interlocuzioni e obblighi di verbalizzazione delle finalità degli incarichi informativi.
Particolarmente rilevante appare anche il tema delle relazioni personali dei manager.
Molte condotte illecite emergono in contesti nei quali rapporti di amicizia, colleganza, appartenenza a reti professionali o precedenti esperienze lavorative comuni vengono impropriamente utilizzati per ottenere indebiti vantaggi informativi.
Il rischio organizzativo nasce quando tali relazioni vengono percepite all’interno dell’impresa come asset aziendali anziché come fattori di esposizione penale.
Il Modello organizzativo dovrebbe chiarire espressamente che nessun rapporto personale con appartenenti alla pubblica amministrazione può essere utilizzato per finalità aziendali estranee ai canali istituzionali e legittimi.
La prevenzione di tali fenomeni non può essere affidata esclusivamente a protocolli documentali, ma richiede una chiara presa di posizione del management contro qualsiasi forma di intermediazione opaca o di procacciamento informativo.
In assenza di tale cultura organizzativa, il rischio è che l’impresa sviluppi progressivamente meccanismi informali di acquisizione di informazioni, tollerati perché ritenuti utili o funzionali al business.
In definitiva, la reale efficacia del D.Lgs. 231/2001 nella prevenzione dei fenomeni di acquisizione illecita di informazioni dipende dalla capacità dell’impresa di superare una concezione meramente formale della compliance.
Il Modello organizzativo non può limitarsi a riprodurre clausole generiche sul rispetto della legge, ma deve diventare uno strumento dinamico di governo del rischio informativo e relazionale.
La prevenzione dei reati di accesso abusivo ai sistemi informatici e dei connessi fenomeni corruttivi richiede oggi un’evoluzione della compliance 231: non più soltanto controllo delle procedure interne, ma anche governo del rischio relazionale esterno.
È proprio nella gestione dei rapporti informali, delle reti personali e delle intermediazioni opache che si gioca, sempre più frequentemente, la reale capacità dell’impresa di prevenire forme sofisticate di criminalità economica e informatica. Solo un sistema di controlli effettivamente integrato nei processi decisionali aziendali può consentire alla società di dimostrare di avere adottato ed efficacemente attuato misure idonee a prevenire il ricorso illecito a funzionari pubblici infedeli e, conseguentemente, di andare esente da responsabilità ai sensi del D.Lgs. 231/2001.
–
A cura di Avv. Antonio Carano