Compliance aziendale: cosa copre e perché passa dai contratti

La compliance aziendale è l'insieme di regole, processi e controlli con cui un'impresa si assicura di rispettare le norme che la riguardano e, soprattutto, di poterlo dimostrare. Per una PMI italiana oggi significa tenere insieme almeno tre fronti: la responsabilità degli enti prevista dal decreto 231, la protezione dei dati personali secondo il GDPR e l'uso dell'intelligenza artificiale regolato dall'AI Act. In questo articolo vediamo cosa chiede ciascuno e perché, in pratica, tutti e tre finiscono per passare dai contratti.

Cos'è la compliance aziendale, oltre la parola

«Compliance» in inglese significa conformità. Nel lessico d'impresa indica qualcosa di più di un adempimento: è la capacità di sapere quali regole si applicano all'azienda, di organizzarsi per rispettarle e di lasciare traccia di come lo si fa.

Quest'ultimo punto è quello che distingue la compliance dalla semplice buona fede. Le norme più recenti non si accontentano che un'impresa si comporti correttamente: le chiedono di dimostrarlo, con documenti, procedure e responsabilità assegnate. Una policy che nessuno ha letto o un controllo che non lascia evidenze, davanti a un'autorità, valgono poco.

Per questo la compliance aziendale non coincide con l'ufficio legale né con il consulente esterno. Riguarda gli acquisti, il personale, l'IT, l'amministrazione: ogni reparto che firma accordi, tratta dati o adotta nuovi strumenti.

Il modello 231: la responsabilità dell'ente

Il decreto legislativo 8 giugno 2001, n. 231 ha introdotto la responsabilità amministrativa degli enti per alcuni reati commessi nel loro interesse o a loro vantaggio da chi li amministra o da chi lavora sotto la loro direzione. In altre parole, quando un reato del catalogo previsto dal decreto viene commesso a beneficio dell'impresa, a risponderne può essere anche la società, non solo la persona fisica.

Le sanzioni a carico dell'ente indicate dall'art. 9 sono di quattro tipi: pecuniarie, interdittive, confisca e pubblicazione della sentenza. Tra le interdittive rientrano il divieto di contrattare con la pubblica amministrazione e la sospensione o revoca di autorizzazioni e licenze, conseguenze che per un'impresa possono pesare più della sanzione economica.

Lo strumento che il decreto offre per difendersi è il modello di organizzazione e gestione, il cosiddetto modello 231. L'art. 6 prevede che l'ente non risponda se, prima del fatto, ha adottato ed efficacemente attuato un modello idoneo a prevenire i reati di quel tipo e ha affidato a un organismo dotato di autonomi poteri di iniziativa e controllo il compito di vigilare sul suo funzionamento. Il modello, tra l'altro, individua le attività a rischio, prevede protocolli per le decisioni, regola la gestione delle risorse finanziarie e introduce un sistema disciplinare.

A questo si è aggiunto il whistleblowing: il d.lgs. 24/2023 ha riscritto il comma 2-bis dell'art. 6, che oggi chiede ai modelli 231 di prevedere canali di segnalazione interna, il divieto di ritorsione e un sistema disciplinare coerente.

Il decreto non impone in generale di adottare il modello: la scelta dipende dall'attività e dai rischi, ed è una valutazione da fare con il proprio consulente. Chi lo adotta, però, deve poi farlo vivere, perché un modello rimasto sulla carta non offre la stessa protezione di uno attuato.

GDPR: dimostrare, non solo rispettare

Il Regolamento (UE) 2016/679, il GDPR, è il fronte di compliance che tocca praticamente ogni impresa, perché ogni impresa tratta dati personali: dipendenti, clienti, referenti dei fornitori.

Il suo principio cardine è la responsabilizzazione, scritta all'art. 5, paragrafo 2: il titolare del trattamento è competente per il rispetto dei principi del regolamento ed è in grado di comprovarlo. È lo stesso schema della 231: non basta fare le cose bene, serve poterlo mostrare. Il primo strumento di questa dimostrazione è il registro dei trattamenti, che mette in fila cosa si fa con i dati, perché e con chi li si condivide.

Il punto di contatto con i contratti è diretto. Quando un fornitore tratta dati per conto dell'azienda, l'art. 28 richiede che il rapporto sia disciplinato da un contratto o da un altro atto giuridico che stabilisca la materia, la durata, la natura e la finalità del trattamento, il tipo di dati e le categorie di interessati, e che vincoli il responsabile a trattare i dati solo su istruzione documentata del titolare. Senza quell'accordo, o con un accordo generico che si limita a ripetere la legge, l'azienda ha un vuoto difficile da giustificare.

AI Act: la compliance per chi usa l'intelligenza artificiale

Il terzo fronte è il più recente. Il regolamento europeo sull'intelligenza artificiale classifica i sistemi per livello di rischio e assegna obblighi diversi a chi li sviluppa e a chi li usa. Una PMI, nella maggior parte dei casi, sta dalla parte di chi usa: adotta strumenti di AI per scrivere testi, analizzare documenti, rispondere ai clienti.

Anche da utilizzatore, l'impresa ha qualcosa da fare: sapere quali sistemi usa e per cosa, formare le persone che li adoperano, rispettare gli obblighi di trasparenza quando il sistema interagisce con il pubblico. Le scadenze applicative e il dettaglio degli obblighi sono spiegati nella nostra guida a cosa prevede l'AI Act.

Anche qui i contratti entrano presto in gioco. Chi acquista uno strumento di AI deve sapere dal fornitore come funziona, quali dati usa e dove li conserva: informazioni che, se non sono scritte nell'accordo, l'azienda non ha modo di pretendere.

Perché i contratti sono l'ossatura della compliance aziendale

Messi uno accanto all'altro, i tre fronti mostrano un tratto comune: le regole diventano obblighi concreti nel momento in cui entrano in un accordo con qualcun altro.

• Nella 231, i protocolli sugli acquisti e sui rapporti con terzi funzionano davvero solo se i contratti con fornitori, agenti e consulenti contengono le clausole che li richiamano, come l'impegno a rispettare il codice etico e le conseguenze in caso di violazione.
• Nel GDPR, ogni responsabile del trattamento deve avere il suo accordo, e ogni destinatario dei dati indicato nel registro dovrebbe corrispondere a un contratto che ne definisce il ruolo.
• Nell'AI Act, le informazioni e le garanzie sugli strumenti adottati arrivano attraverso le condizioni contrattuali del fornitore.

Questo ha due conseguenze pratiche. La prima: un archivio contrattuale disordinato è già un problema di compliance, perché rende impossibile rispondere a domande semplici come «con quali fornitori condividiamo dati?» o «quali partner hanno sottoscritto il nostro codice etico?». La seconda: le scadenze dei contratti sono anche scadenze di compliance. Un accordo che si rinnova in automatico senza essere riletto si porta dietro clausole scritte per norme che nel frattempo sono cambiate.

Come impostare un presidio sostenibile

Per una PMI la compliance aziendale non deve diventare una macchina burocratica. Alcune abitudini fanno la differenza:

1. Una mappa delle regole applicabili. Sapere quali norme toccano davvero l'azienda, con l'aiuto del proprio consulente, prima di produrre documenti.
2. Un responsabile per ogni fronte. Una persona identificata per la 231, per la privacy, per gli strumenti di AI, anche se la stessa persona copre più ruoli.
3. Un archivio dei contratti completo e consultabile. Ogni accordo con fornitori e partner in un unico posto, con le clausole rilevanti facili da ritrovare.
4. Revisioni legate alle scadenze. Uno scadenzario dei contratti affidabile è anche il calendario naturale in cui verificare che clausole, nomine e garanzie siano ancora corrette.
5. Evidenze, non solo intenzioni. Ogni controllo fatto deve lasciare traccia: chi l'ha fatto, quando, con quale esito.

Domande frequenti

Cosa si intende per compliance aziendale? È l'insieme delle regole, dei processi e dei controlli con cui un'impresa si assicura di rispettare le norme che la riguardano e di poterlo dimostrare. Oggi per molte PMI i tre fronti principali sono la responsabilità degli enti prevista dal d.lgs. 231/2001, la protezione dei dati personali secondo il GDPR e l'uso dell'intelligenza artificiale regolato dall'AI Act.

Il modello 231 è obbligatorio per una PMI? Il d.lgs. 231/2001 non impone in generale di adottarlo, ma l'ente che lo ha adottato ed efficacemente attuato prima del reato può evitare la responsabilità. Se e come adottarlo è una valutazione da fare con il proprio consulente, in base ai rischi dell'attività.

Perché i contratti sono centrali nella compliance? Perché molti obblighi passano per forza da un accordo scritto: il GDPR richiede un contratto o altro atto giuridico con ogni responsabile del trattamento, e le regole interne su fornitori e partner diventano vincolanti solo se entrano nei contratti. Un contratto scaduto o non aggiornato è un punto scoperto anche per la compliance.

Una verifica di compliance si ferma presto se i contratti sono sparsi tra email e cartelle condivise: in Accordyx ogni accordo vive in un archivio unico, con le scadenze sotto controllo e misure di protezione documentate, così le evidenze sono pronte quando servono. → Come Accordyx protegge i dati