Lotta al riciclaggio e alle frodi e falsificazioni di mezzi di pagamento diversi dai contanti: quali impatti sui Modelli 231?

Il 14 e il 15 dicembre scorsi sono entrati in vigore, rispettivamente, il D.Lgs. 8 novembre 2021 n. 184, recante norme in materia di “Attuazione della direttiva (UE) 2019/713 del Parlamento europeo e del Consiglio, del 17 aprile 2019, relativa alla lotta contro le frodi e le falsificazioni di mezzi di pagamento diversi dai contanti e che sostituisce la decisione quadro 2001/413/GAI del Consiglio”, e il D.Lgs. 8 novembre 2021 n. 195, recante norme in materia di “Attuazione della direttiva (UE) 2018/1673 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla lotta al riciclaggio mediante il diritto penale”.

Analizziamoli in dettaglio.

L’ATTUAZIONE DELLA DIRETTIVA (UE) N. 2019/713 RELATIVA ALLA LOTTA CONTRO LE FRODI E LE FALSIFICAZIONI DI MEZZI DI PAGAMENTO DIVERSI DAI CONTANTI: IL D.LGS. 184/2021

Introdotto il nuovo art. 25-octies.1 Delitti in materia di strumenti di pagamento diversi dai contanti, che estende il catalogo dei reati presupposto alle seguenti fattispecie:

1. Indebito utilizzo e falsificazione di strumenti di pagamento diversi dai contanti (art. 493-ter c.p.)
2. Detenzione e diffusione di apparecchiature, dispositivi o programmi informatici diretti a commettere reati riguardanti strumenti di pagamento diversi dai contanti (art. 493-quater c.p.)
3. Frode informatica (art. 640-ter c.p.), già presupposto ex art. 24 ma solo se commessa ai danni dello Stato o di altro ente pubblico, ora invece rilevante ex art. 25-octies. 1 anche “quando produce un trasferimento di denaro, di valore monetario o di valuta virtuale” (a prescindere dalla natura della persona offesa, che può anche essere un privato)
4. “ogni altro delitto contro la fede pubblica, contro il patrimonio o che comunque offende il patrimonio previsto dal Codice penale, quando ha ad oggetto strumenti di pagamento diversi dai contanti”

A fronte della esponenziale crescita dell’economia digitale registrata negli ultimi anni e della diffusione di sempre più innovative tecnologie di pagamento, è riscontrabile un aumento significativo delle opportunità di frode.

Frodi e falsificazioni di strumenti di pagamento diversi dai contanti costituiscono una minaccia alla sicurezza, non solo economica, rappresentando importanti fonti di entrate per la criminalità organizzata, nonché un grave ostacolo allo sviluppo del mercato unico digitale. Il proliferare di tali fenomeni, indubbiamente facilitati dalla “semplificazione” apportata dai nuovi strumenti di pagamento, mina le fondamenta la fiducia dei consumatori, determinando un effetto negativo sulla crescita degli scambi economici.

Sono questi i rilievi alla base dell’adozione della Direttiva (UE) n. 2019/713 e, dunque, del conseguente adeguamento dell’ordinamento italiano mediante il recentissimo D.Lgs. 184/2021. Tale norma prevede fra l’altro l’introduzione nel Decreto 231 del nuovo art. 25-octies.1, Delitti in materia di strumenti di pagamento diversi dai contanti, con richiamo dei seguenti reati:

1. Indebito utilizzo e falsificazione di strumenti di pagamento diversi dai contanti (art. 493-ter c.p.)
2. Detenzione e diffusione di apparecchiature, dispositivi o programmi informatici diretti a commettere reati riguardanti strumenti di pagamento diversi dai contanti (art. 493-quater c.p.)
3. Frode informatica (art. 640-ter c.p.), già presupposto ex art. 24 ma solo se commessa ai danni dello Stato o di altro ente pubblico, ora invece rilevante ex art. 25-octies. 1 anche “quando produce un trasferimento di denaro, di valore monetario o di valuta virtuale” (a prescindere dalla natura della persona offesa, che può anche essere un privato)
4. “ogni altro delitto contro la fede pubblica, contro il patrimonio o che comunque offende il patrimonio previsto dal Codice penale, quando ha ad oggetto strumenti di pagamento diversi dai contanti”

A fronte della esponenziale crescita dell’economia digitale registrata negli ultimi anni e della diffusione di sempre più innovative tecnologie di pagamento, è riscontrabile un aumento significativo delle opportunità di frode.

Frodi e falsificazioni di strumenti di pagamento diversi dai contanti costituiscono una minaccia alla sicurezza, non solo economica, rappresentando importanti fonti di entrate per la criminalità organizzata, nonché un grave ostacolo allo sviluppo del mercato unico digitale. Il proliferare di tali fenomeni, indubbiamente facilitati dalla “semplificazione” apportata dai nuovi strumenti di pagamento, mina le fondamenta la fiducia dei consumatori, determinando un effetto negativo sulla crescita degli scambi economici.

Sono questi i rilievi alla base dell’adozione della Direttiva (UE) n. 2019/713 e, dunque, del conseguente adeguamento dell’ordinamento italiano mediante il recentissimo D.Lgs. 184/2021. Tale norma prevede fra l’altro l’introduzione nel Decreto 231 del nuovo art. 25-octies.1, Delitti in materia di strumenti di pagamento diversi dai contanti, con richiamo dei seguenti reati:

• art. 493-ter c.p., relativo al reato di Indebito utilizzo e falsificazione di strumenti di pagamento diversi dai contanti^[1], che incrimina la condotta di chi “al fine di trarne profitto per sé o per altri, indebitamente utilizza, non essendone titolare, carte di credito o di pagamento, ovvero qualsiasi altro documento analogo che abiliti al prelievo di denaro contante o all'acquisto di beni o alla prestazione di servizi, o comunque ogni altro strumento di pagamento diverso dai contanti”, ovvero “falsifica o altera gli strumenti o i documenti di cui al primo periodo, ovvero possiede, cede o acquisisce tali strumenti o documenti di provenienza illecita o comunque falsificati o alterati, nonché ordini di pagamento prodotti con essi”;
• art. 493-quater c.p., che punisce il reato di Detenzione e diffusione di apparecchiature, dispositivi o programmi informatici diretti a commettere reati riguardanti strumenti di pagamento diversi dai contanti, fattispecie introdotta ex novo nel codice penale per sanzionare la condotta di chi, “al fine di farne uso o di consentirne ad altri l'uso nella commissione di reati riguardanti strumenti di pagamento diversi dai contanti, produce, importa, esporta, vende, trasporta, distribuisce, mette a disposizione o in qualsiasi modo procura a sé o ad altri apparecchiature, dispositivi o programmi informatici che, per caratteristiche tecnico-costruttive o di progettazione, sono costruiti principalmente per commettere tali reati o sono specificamente adattati a tale scopo”;
• art. 640-ter c.p., relativo al reato di Frode informatica – reato già rilevante ex art. 24 del Decreto 231 ma solo se commesso ai danni dello Stato o di altro ente pubblico – a cui è ora stata aggiunta una nuova circostanza aggravante per l’ipotesi in cui il fatto criminoso “produc[a] un trasferimento di denaro, di valore monetario o di valuta virtuale^[2]”: la fattispecie così aggravata è ora presupposto dell’illecito di cui al nuovo art. 25-octies.1, prescindendo dalla natura della persona offesa da reato che può anche essere un privato.

Ai sensi di nuovo articolo art. 25-octies.1 è altresì esteso il catalogo dei reati presupposto della responsabilità degli enti a “ogni altro delitto contro la fede pubblica, contro il patrimonio o che comunque offende il patrimonio previsto dal Codice penale, quando ha ad oggetto strumenti di pagamento diversi dai contanti”.

Il recente D.Lgs. 184/2021 prevede infine l’individuazione della Sala operativa internazionale, incardinata nel Servizio per la cooperazione internazionale di Polizia della Direzione centrale della Polizia criminale, quale “punto di contatto operativo nazionale” utile per lo scambio di informazioni tra autorità degli Stati membri in ordine ai reati di cui al D.Lgs. n. 184/2021.

L’aggiornamento dei Modelli 231

Le novità appena rappresentate rendono necessarie alcune preliminari riflessioni in tema di aggiornamento dei Modelli 231. Oggi, infatti, in attesa che alcuni aspetti della nuova disciplina particolarmente critici da un punto di vista interpretativo siano fatti oggetto di approfondimento nelle sedi opportune, ciascun ente che rientri nell’ambito di applicazione del Decreto 231 è chiamato innanzitutto a valutare la rilevanza dei nuovi rischi in relazione alla propria operatività e, all’esito, procedere all’attività di Risk assessment & Gap analysis, finalizzata a identificare puntualmente le aree aziendali sensibili, valutare l’adeguatezza dei presidi di controllo già esistenti e rilevare eventuali gap.

Con riferimento ai reati richiamati dal nuovo art. 25-octies.1 del Decreto 231, ad una prima lettura si può evidenziare che:

• il rischio di commissione del reato di Indebito utilizzo e falsificazione di strumenti di pagamento diversi dai contanti ex art. 493-ter c.p. può astrattamente configurarsi in tutte le realtà aziendali, purché ovviamente la condotta criminosa sia posta in essere – direttamente o in concorso con l’autore materiale – nell’interesse o a vantaggio dell’ente. Occorrerà, in generale, analizzare le aree operative e i processi interessati dalla possibilità di movimentare flussi finanziari, ora in particolare con riguardo alle differenti tipologie di strumenti di pagamento diverse dai contanti.

  Particolare accortezza dovrà essere prestata in quelle società che, in ragione dell’attività svolta, possano accedere a dati identificativi, credenziali, etc. prodromici all’utilizzo indebito di strumenti di pagamento (diversi dai contanti) di titolarità di terzi, quali le carte di credito (si pensi, ad esempio, agli operatori del settore e-commerce, retailo che offrano servizi in abbonamento, nonché alle società operanti nel settore finanziario e, in particolare, nei sistemi di pagamento);

• quanto, invece, al nuovo reato di Detenzione e diffusione di apparecchiature, dispositivi o programmi informatici diretti a commettere reati riguardanti strumenti di pagamento diversi dai contanti ex art. 493-quater c.p., per come costruita, la fattispecie non appare espressione tipica della criminalità d’impresa. In ogni caso, il rischio in questione deve essere valutato con attenzione soprattutto nell’ambito di quelle società attive a vario titolo nella gestione e/o nella diffusione dei richiamati strumenti di pagamento e negli ambienti (anche tecnologici) funzionali al relativo utilizzo;
• la frode informatica ex art. 640-ter c.p., nell’ipotesi aggravata dalla realizzazione di un trasferimento di denaro, valore monetario o valuta virtuale, configura un rischio astrattamente rilevante per tutti gli enti, quale che ne sia l’operatività tipica. Si pone quindi la necessità di rivedere la mappatura del rischio-reato in tale nuova e più estesa fattispecie e nei casi di relativa potenziale commissione anche a danno di privati;
• più complessa appare la valutazione della rilevanza dei nuovi rischi 231 introdotti dal Legislatore italiano mediante un generico richiamo a categorie di reati individuate in ragione del bene giuridico tutelato, direttamente o indirettamente, dalla norma incriminatrice (delitti contro la fede pubblica di cui al titolo VII del codice penale, contro il patrimonio - titolo XIII del codice penale - o che “comunque offendono il patrimonio”, sempre se previsti dal codice penale), a condizione che ne siano oggetto materiale “strumenti di pagamento diversi dai contanti”.

In attesa di interventi interpretativi che consentano un’eventuale circoscrizione del perimetro^[3], il tenore letterale della norma implica di: (i) ritenere astrattamente rilevanti tutti i delitti di cui al titolo VII e XIII del codice penale; (ii) identificare i reati che comunque offendono il patrimonio^[4]; (iii) selezionare criticamente, fra tutti questi reati, quelli che potrebbero almeno astrattamente essere commessi nello specifico contesto operativo aziendale.

Quanto, invece, all’impatto dell’introduzione dei nuovi reati 231 sul sistema dei controlli interni, sarà certamente necessario che l’ente garantisca il rigoroso rispetto dei principi di controllo generalmente aventi efficacia a prevenire i rischi-reato nell’ambito delle aree operative o dei processi interessati (e.g. livelli autorizzativi definiti, segregazione delle funzioni, tracciabilità, controlli “maker-checker-approver” o “4eyes”, monitoraggio di eventuali terze parti coinvolte e verificabilità dei flussi finanziari).

Rispetto ai presidi di controllo più specifici, occorrerà, in prima istanza, valutare l’adeguatezza dei controlli già implementati a prevenzione delle condotte di natura fraudolenta (di cui, verosimilmente, certe realtà aziendali si sono già dotate anche per obblighi di legge), nonché delle misure in essere a tutela della sicurezza, fisica e informatica, degli strumenti di pagamento diversi dai contanti in uso presso la società o a cui la stessa abbia accesso in ragione dell’attività svolta.

Inoltre, con specifico riferimento al rischio di commissione della frode informatica, nella nuova ipotesi aggravata di cui al comma 2 dell’art. 640-ter c.p., occorrerà, in primis, identificare - nell’ambito delle attività svolte dalla società - se vi siano soggetti privati potenzialmente “offesi” dalla condotta in oggetto e, in caso affermativo, valutare l’introduzione ex novo di presidi di controllo specifici. Nei casi di frode informatica a danno di soggetti pubblici, dovrà essere confermata l’adeguatezza dei presidi attuati a prevenzione della fattispecie ex art. 24. In questo senso, potrà essere utile individuare eventuali condotte fraudolente che, mediante l’alterazione del funzionamento dei sistemi informatici aziendali, permettano la distrazione di flussi finanziari dematerializzati.

L’ATTUAZIONE DELLA DIRETTIVA (UE) N. 2018/1673 RELATIVA ALLA LOTTA AL RICICLAGGIO MEDIANTE IL DIRITTO PENALE: IL D.LGS. 195/2021

Il D.Lgs. 195/2001 introduce novità in relazione ai reati di Ricettazione, Riciclaggio e Impiego di denaro, beni o utilità di provenienza illecita, nonché Autoriciclaggio, già fattispecie rilevanti ai sensi dell’art. 25-octies del Decreto 231. Di seguito i tratti salienti della nuova normativa:

• il novero dei reati presupposto dei delitti di Ricettazione, Riciclaggio, Impiego e Autoriciclaggio viene esteso anche alle contravvenzioni (purché punite con pena dell’arresto superiore nel massimo a un anno o nel minimo a sei mesi), prevedendo per tali fattispecie nuove ed autonome cornici edittali;
• viene estesa la configurabilità dei reati di Riciclaggio e Autoriciclaggio in relazione ai beni provenienti da qualsiasi delitto, anche colposo (come già previsto per Ricettazione e Impiego), omogeneizzando così tutte le tipologie di reati presupposto previste da tali reati;
• viene ampliata la giurisdizione italiana ai fatti di Ricettazione e Autoriciclaggio commessi dal cittadino all’estero, senza più alcuna limitazione.

Di seguito una rappresentazione sintetica dell’attuale rilevanza dei reati presupposto rispetto alle fattispecie in argomento (in area rossa l’area di rischio nuova introdotta dal D.Lgs. 195/2021).

La dilatazione del perimetro di rilevanza penale che deriva dalle modifiche apportate dal D.Lgs. 195/2021 ai reati di Ricettazione, Riciclaggio, Impiego di denaro, beni o altra utilità di provenienza illecita e Autoriciclaggio si riverbera direttamente sui paralleli illeciti amministrativi dipendenti da reato ai sensi dell’art. 25-octies del D.Lgs. 231/2001 e, dunque, sul perimetro dei rischi 231 che gli enti sono chiamati a governare.

L’aggiornamento dei Modelli 231

A poco tempo dalle novità introdotte, Protiviti propone un approccio risk based, ribadendo i punti fermi dell’elaborazione già maturata con riferimento al delitto di Riciclaggio ex art. 648-bis e soprattutto con l’introduzione del delitto di Autoriciclaggio ex art. 648-ter.1 ed il relativo inserimento nel Catalogo dei reati presupposto della responsabilità degli enti ai sensi del D.Lgs. 231/2001 (si rimanda, in particolare, al documento Insight n. 45 di Maggio 2015 “Autoriciclaggio e D.Lgs. 231/2001: quali gli impatti per gli Enti e i loro Modelli organizzativi?”).

Ritenendo di poter escludere l’ipotesi di prendere in considerazione tutte le nuove fattispecie-presupposto (teorico) dei delitti di Riciclaggio/Autoriciclaggio, si condivide di seguito un diverso approccio che – ai fini della mappatura dei nuovi rischi – muove dalla preliminare distinzione tra flussi economico-finanziari in entrata dall’esterno dell’ente e flussi economico-finanziari generati all’interno dell’ente stesso.

In particolare, per quanto riguarda i flussi in entrata dall’esterno dell’ente, si tratterà di verificare se i presidi preventivi già previsti nel Modello 231 (anche) con riferimento a Ricettazione, Riciclaggio e Autoriciclaggio siano adeguati rispetto alla peculiare modalità di formazione della provvista che derivi da fattispecie penali di natura colposa.

Nulla, invece, cambia per i delitti dolosi e più in generale per le fattispecie anche dolose^[5].

In merito, invece, ai flussi di denaro provenienti dall’interno, occorrerà verificare se e quali ambiti di attività dell’ente possano generare beni, denaro o altra utilità attraverso la commissione di delitti colposi ovvero di contravvenzioni. In sostanza, riprendendo alcuni punti cardine a suo tempo proposti da Protiviti per l’adeguamento dei Modelli 231 alla prevenzione del reato di Autoriciclaggio (si ricorda, in particolare, la possibilità di seguire approcci alternativi, i.e. “minimalista” versus “a maggior cautela” versus “progressivo”):

• gli enti che abbiano già improntato i propri Modelli ad approcci cautelativi dovranno occuparsi di estendere il perimetro dei reati presupposto delle fattispecie di Riciclaggio e Autoriciclaggio per considerare, fra questi, non più solo i delitti non colposi^[6], bensì – come detto – anche i delitti colposi e le contravvenzioni^[7]. Identificati tali nuovi reati presupposto, secondo un approccio basato sul rischio effettivo rispetto allo specifico contesto operativo, si tratterà di integrare indicatori di rischio e principi di comportamento e di controllo specifici in relazione agli eventuali nuovi ambiti operativi/processi a rischio-reato;
• gli enti che, invece, abbiano adottato un approccio “minimalista” rispetto ai reati in argomento (e.g. mera integrazione del Modello 231 con regole etiche/comportamentali per gli ambiti identificati a rischio di commissione di delitti presupposto “non 231”), sono chiamati a valutare l’opportunità di adottare un approccio di maggiore cautela.

All’esito del percorso di identificazione dei nuovi rischi legati alla creazione interna all’ente di provvista riciclabile/autoriciclabile/impiegabile – da calibrare in base all’approccio “di partenza” della singola organizzazione e proporzionalmente al proprio contesto – potrà essere redatto un protocollo ad hoc (ovvero integrato, come anticipato, nel caso di pregressa adozione di approcci cautelativi), in cui incrociare indicatori di rischio, riferiti alla movimentazione della provvista con specifici controlli, così da poter verificare la natura non illecita dei flussi finanziari e assicurarne la tracciabilità^[8].

L’approccio proposto ha il vantaggio di consentire agli Enti di affrontare gradualmente anche i nuovi rischi di commissione degli illeciti “presupposto” — ovviamente laddove non direttamente rilevanti ai sensi della responsabilità amministrativa ex D.Lgs. 231/2001 — e di definire un piano di progressivo miglioramento del sistema dei controlli interni, funzionale e commisurato alle proprie caratteristiche organizzative e operative.

Inoltre, l’Organismo di Vigilanza ben potrebbe coordinarsi con gli altri organi di controllo già esistenti acquisendo, da questi e dal management, un set informativo (integrato) rispetto (i) al verificarsi di eventi aziendali che potrebbero celare (nuove) condotte di “riciclaggio/autoriciclaggio” e (ii) all’effettiva implementazione dei presidi a prevenzione dell’autoriciclaggio.