Internal investigation e audit penale interno per imprese

L’internal investigation è l’indagine interna che un’impresa affida a un avvocato penalista quando una segnalazione, un’anomalia contabile, un infortunio o una verifica fiscale fanno sospettare un reato commesso nell’organizzazione. Lo Studio la svolge su mandato dell’organo amministrativo, dell’Organismo di Vigilanza, del collegio sindacale o dei soci, e consegna una relazione riservata con le opzioni praticabili.

Indice

• Quando un’impresa avvia un’internal investigation
• Che cosa comprende l’internal investigation
• Le fasi dell’internal investigation
• Tempi, riservatezza e documenti consegnati
• Internal investigation, investigazioni difensive e criminal due diligence
• Situazioni, intervento ed esito atteso
• Il punto dell’Avv. Soardi
• Domande frequenti
• Richiedere un confronto
• Dove riceve lo Studio

Quando un’impresa avvia un’internal investigation

I mandati nascono quasi sempre da cinque situazioni.

La prima è una segnalazione ricevuta attraverso il canale whistleblowing. L’art. 5 del D.Lgs. 24/2023 impone al gestore l’avviso di ricevimento entro sette giorni e il riscontro entro tre mesi, e in quei tre mesi i fatti segnalati vanno verificati. La seconda è un’anomalia contabile emersa in sede di revisione o di chiusura del bilancio: fatture senza una prestazione reale dietro, pagamenti a fornitori mai censiti, note spese che non tornano. La terza è un infortunio grave sul lavoro, dove deleghe, procedure e formazione vanno ricostruite subito, con i documenti ancora al loro posto. La quarta è un sospetto di corruzione, verso un pubblico ufficiale o fra privati, nei rapporti con clienti, fornitori o agenti. La quinta è una verifica fiscale in corso, che porta alla luce operazioni di cui l’organo amministrativo non conosceva la sostanza e che possono sfociare in una notizia di reato.

Il mandato arriva dall’organo amministrativo, che risponde della gestione; dall’Organismo di Vigilanza, che ai sensi dell’art. 6, comma 1, lettera b) del D.Lgs. 231/2001 vigila sul funzionamento del modello e ha bisogno di approfondimenti che da solo non può svolgere; dal collegio sindacale; dai soci, quando il sospetto riguarda l’amministratore; dalla capogruppo per una controllata.

Non sempre serve un’indagine formale. Un’anomalia isolata e documentata si chiude con una verifica amministrativa interna. L’avvocato esterno diventa opportuno quando i fatti possono integrare un reato presupposto della responsabilità dell’ente, quando sono coinvolti soggetti apicali, o quando i risultati potrebbero dover essere prodotti in un procedimento penale o disciplinare. I reati che espongono l’impresa sono nella pagina sul diritto penale dell’economia.

Che cosa comprende l’internal investigation

Il servizio copre l’intero percorso, dalla lettera di incarico alla scelta di che cosa fare dopo:

• la definizione del mandato e del perimetro: chi conferisce l’incarico, quali fatti, quale arco temporale, chi riceve la relazione;
• la raccolta e la conservazione dei documenti e dei dati, con la catena di custodia e con i limiti dell’art. 4 della L. 300/1970 sui controlli a distanza e del Regolamento (UE) 2016/679: il DPO, se designato ai sensi dell’art. 37 GDPR, viene coinvolto prima dell’accesso a caselle di posta e dispositivi;
• le interviste alle persone informate, verbalizzate, con la tutela dell’identità del segnalante prevista dall’art. 12 del D.Lgs. 24/2023;
• la ricostruzione dei fatti, distinguendo accertato, probabile e non verificabile;
• la qualificazione penale delle condotte e la valutazione dell’esposizione dell’ente: interesse o vantaggio ai sensi dell’art. 5 D.Lgs. 231/2001, idoneità ed efficace attuazione del modello ai sensi degli artt. 6 e 7, presenza del reato nel catalogo dei reati presupposto;
• la relazione riservata, coperta dal segreto professionale dell’avvocato di cui all’art. 200 c.p.p.;
• le opzioni successive: rimedi organizzativi, provvedimenti disciplinari ai sensi dell’art. 7 L. 300/1970, denuncia o querela, condotte riparatorie ex art. 17 D.Lgs. 231/2001, aggiornamento del modello.

L’impresa può affidare allo Studio anche un solo segmento, ad esempio la qualificazione giuridica di fatti già ricostruiti dall’internal audit: la relazione dice allora su quali materiali si fonda e su quali no.

Le fasi dell’internal investigation

L’ordine delle fasi non cambia; cambia il peso di ciascuna.

Le fasi, in ordine

1. Mandato e perimetro. Un primo incontro con chi conferisce l’incarico fissa per iscritto oggetto, arco temporale, funzioni coinvolte, destinatari della relazione e regole di riservatezza, compreso chi, dentro l’impresa, è informato dell’indagine e chi no. Se il mandato arriva dall’OdV, si concorda il flusso verso l’organo amministrativo.
2. Conservazione delle prove. Prima di qualsiasi intervista si mettono in sicurezza documenti, scritture contabili, caselle di posta e dispositivi, con un verbale di acquisizione che ne fissa data, provenienza e contenuto. È qui che pesano i limiti dell’art. 4 L. 300/1970 e le regole del GDPR: base giuridica, informativa già resa ai dipendenti, eventuale valutazione d’impatto ai sensi dell’art. 35, coinvolgimento del DPO.
3. Analisi documentale e contabile. Si leggono contratti, ordini, fatture, estratti conto, deleghe, procure, verbali e procedure interne, per ricostruire chi ha deciso, chi ha eseguito, chi ha controllato e chi avrebbe dovuto farlo.
4. Interviste. Si sentono le persone informate, in un ordine studiato perché le versioni non si allineino, con un verbalizzante. La persona sentita sa che l’avvocato lavora per l’impresa e che la relazione andrà al committente. Il segnalante, se c’è, resta protetto: identità riservata ai sensi dell’art. 12 e divieto di ritorsioni ai sensi dell’art. 17 del D.Lgs. 24/2023.
5. Ricostruzione e qualificazione. I fatti vengono ordinati in una cronologia e classificati per grado di certezza. Su questa base si valuta se le condotte integrano un reato, quale, e se l’ente ne risponde: chi ha agito, in posizione apicale o subordinata, nell’interesse o a vantaggio dell’impresa, con un modello attuato oppure no.
6. Relazione e decisione. La relazione riservata espone fatti, prove, qualificazione ed esposizione dell’ente, e chiude con le opzioni: che cosa correggere nell’organizzazione, se avviare un procedimento disciplinare, se sporgere denuncia o querela, se attivare le condotte riparatorie dell’art. 17 D.Lgs. 231/2001, che cosa aggiornare nel modello. La decisione resta all’organo che ha conferito il mandato.

Il raccordo con la segnalazione whistleblowing

Quando il fatto arriva dal canale whistleblowing, l’indagine si coordina con il gestore delle segnalazioni: la pagina sul servizio di gestione delle segnalazioni descrive come i due incarichi si tengono distinti.

Tempi, riservatezza e documenti consegnati

La durata dipende dal numero di persone da sentire, dalla mole dei dati da acquisire e dalla presenza di un procedimento o di una verifica già in corso, che impone di muoversi prima che gli atti vengano acquisiti da altri.

Al termine l’impresa riceve:

• la lettera di incarico con il perimetro concordato;
• il piano d’indagine e i suoi aggiornamenti;
• i verbali di acquisizione dei documenti e i verbali delle interviste;
• il fascicolo documentale con indice ragionato;
• la relazione finale riservata, con la cronologia dei fatti, la qualificazione e le opzioni;
• su richiesta, una sintesi per l’organo amministrativo o il collegio sindacale e la bozza della contestazione disciplinare o della denuncia.

La relazione è redatta da un avvocato nell’esercizio della professione ed è coperta dal segreto professionale; la sua conservazione presso lo Studio, anziché nei sistemi aziendali, viene concordata nel mandato.

Il compenso viene definito con preventivo scritto prima dell’incarico, in base all’attività prevista, nel rispetto dei parametri forensi di cui al D.M. 55/2014. Se il perimetro si allarga, il preventivo viene integrato per iscritto prima di proseguire.

Internal investigation, investigazioni difensive e criminal due diligence

Tre attività che si somigliano e vanno tenute separate, perché cambiano le regole e chi ne usa i risultati.

L’internal investigation si svolge prima o fuori da un procedimento penale, su mandato dell’impresa e per le decisioni dell’impresa. Quando un procedimento esiste già, e la società ha ricevuto l’informazione di garanzia o la contestazione dell’illecito, l’attività prende la forma delle investigazioni difensive degli artt. 391-bis e seguenti c.p.p.: le dichiarazioni si raccolgono con le forme e gli avvertimenti previsti da quelle norme, e il risultato può entrare nel fascicolo della difesa. L’incarico diventa allora quello della difesa dell’ente nel procedimento 231, e ciò che l’indagine interna ha raccolto viene riesaminato per decidere che cosa produrre.

Capita anche il caso opposto: l’impresa è la parte danneggiata. Un dipendente che si appropria di somme, un responsabile acquisti pagato da un fornitore, un accesso abusivo ai sistemi. Qui la relazione diventa la base della querela, da presentare entro tre mesi dalla notizia del fatto ai sensi dell’art. 124 c.p. per i reati che la richiedono, e della costituzione di parte civile. Il percorso è nella pagina sull’assistenza alla persona offesa.

La terza attività è la criminal due diligence nelle operazioni straordinarie. Chi acquista un’azienda, incorpora una società o rileva un ramo eredita, nei limiti degli artt. 28 e seguenti del D.Lgs. 231/2001, la responsabilità per gli illeciti anteriori all’operazione. Una verifica sui reati presupposto, sul modello della società target e sui procedimenti pendenti consente di negoziare garanzie e prezzo con cognizione di causa. L’articolo su fusione, scissione, cessione e responsabilità 231 spiega che cosa passa e che cosa non passa con l’operazione.

Situazioni, intervento ed esito atteso

Situazione	Che cosa fa lo Studio	Esito atteso
Segnalazione whistleblowing su fatti di possibile rilievo penale	Indagine su mandato dell’OdV o dell’organo amministrativo, coordinata con il gestore del canale, entro i tre mesi dell’art. 5 D.Lgs. 24/2023	Relazione riservata con qualificazione dei fatti e riscontro motivato al segnalante
Anomalia contabile o sospetta frode interna	Conservazione dei dati, analisi documentale, interviste, ricostruzione della catena decisionale	Fatti accertati, responsabilità individuate, scelta fra rimedio interno, disciplinare e querela
Infortunio grave sul lavoro	Ricostruzione immediata di deleghe, procedure, formazione e DVR, prima dell’acquisizione da parte degli organi ispettivi	Quadro dell’esposizione dell’ente e degli apicali, materiale pronto per la difesa
Sospetto di corruzione verso la P.A. o fra privati	Verifica dei rapporti con il terzo, dei flussi di pagamento e delle autorizzazioni interne	Valutazione dell’interesse o vantaggio ex art. 5 D.Lgs. 231/2001 e delle condotte riparatorie ex art. 17
Verifica fiscale in corso con operazioni non chiare	Ricostruzione della sostanza delle operazioni in parallelo alla verifica, in raccordo con il commercialista	Strategia coordinata prima che il verbale diventi notizia di reato
Acquisizione o fusione con società target	Criminal due diligence su reati presupposto, modello e procedimenti pendenti	Garanzie contrattuali e prezzo negoziati con il rischio 231 misurato

Il punto dell’Avv. Soardi

La domanda che mi viene rivolta più spesso, quando un’impresa mi chiama per un’indagine interna, è se non convenga aspettare e vedere che cosa succede. Capisco la tentazione: un’indagine costa, disturba, e a volte scopre cose che nessuno voleva sapere. Il meccanismo del decreto 231 premia chi si muove prima. Le condotte riparatorie dell’art. 17 e la riduzione della sanzione dell’art. 12 hanno un calendario, e quel calendario non aspetta che l’impresa abbia capito che cosa è successo. Chi aspetta finisce per ricostruire i fatti leggendoli negli atti del pubblico ministero, che li ha ordinati secondo la sua tesi.

Un’indagine interna ben fatta serve a sapere che cosa è successo davvero e a decidere con i numeri in mano. Alcune volte il risultato è che il sospetto era infondato: anche quello è un esito che vale la spesa.

Domande frequenti

Chi può conferire l’incarico di internal investigation?

L’organo amministrativo, l’Organismo di Vigilanza nei limiti dei poteri che il modello gli attribuisce ai sensi dell’art. 6, comma 1, lettera b) del D.Lgs. 231/2001, il collegio sindacale, i soci e la capogruppo per le controllate. Il mandato è scritto e indica oggetto, perimetro e destinatari della relazione. Se il sospetto riguarda l’amministratore, l’incarico arriva da un organo diverso da lui.

L’internal investigation può accedere alle email aziendali dei dipendenti?

Sì, entro i limiti dell’art. 4 della L. 300/1970 e del Regolamento (UE) 2016/679. Serve un’informativa già resa ai dipendenti sull’uso degli strumenti di lavoro e sui controlli possibili, e un accesso proporzionato ai fatti da verificare. Il DPO, se designato, viene coinvolto prima dell’accesso. Un’acquisizione fatta male brucia il risultato e apre un fronte in più.

Le persone intervistate sono obbligate a collaborare?

Il dipendente ha un dovere di collaborazione che discende dal rapporto di lavoro, ma il colloquio non è un interrogatorio e non ha le garanzie dell’art. 64 c.p.p. Per questo la persona viene informata che l’avvocato lavora per l’impresa, che le dichiarazioni saranno verbalizzate e che la relazione andrà al committente. Un rifiuto di rispondere viene registrato, senza forzature.

L’impresa è obbligata a denunciare quello che scopre?

Per regola generale l’obbligo di denuncia grava sui pubblici ufficiali e sugli incaricati di un pubblico servizio, ai sensi dell’art. 331 c.p.p., non sull’impresa privata. Restano le eccezioni per specifici reati e per chi esercita funzioni pubbliche. Fuori da questi casi la denuncia è una scelta, da valutare anche alla luce delle condotte riparatorie dell’art. 17 D.Lgs. 231/2001 e della posizione dell’impresa come parte danneggiata.

La relazione finale può essere usata contro l’ente?

La relazione è redatta da un avvocato ed è coperta dal segreto professionale. Il perimetro della tutela sui materiali dell’indagine, quando lo Studio non è ancora difensore nominato in un procedimento, resta un punto da affrontare caso per caso: per questo il mandato stabilisce dove i documenti vengono conservati e quali vanno all’impresa. Che cosa produrre lo si decide dopo aver letto la relazione, non prima.

Che differenza c’è con le verifiche dell’Organismo di Vigilanza?

L’OdV vigila sul funzionamento del modello e ha poteri di verifica, ma non svolge indagini su singole persone né qualifica penalmente i fatti. Quando una verifica fa emergere un sospetto concreto, l’Organismo può chiedere all’organo amministrativo un mandato di indagine a un avvocato esterno e ricevere la relazione come flusso informativo. Il servizio di Organismo di Vigilanza esterno è descritto in una pagina dedicata.

Richiedere un confronto

Se l’impresa ha ricevuto una segnalazione, ha rilevato un’anomalia o ha una verifica in corso, un primo confronto serve a inquadrare la situazione e a capire se un’indagine interna è la strada adatta. Lo Studio risponde al telefono +39 035 236659 e all’indirizzo info@studiosoardi.com. Gli altri servizi sono nell’hub dei servizi dello Studio. Il primo confronto viene fissato subito ed è a pagamento: il compenso viene indicato prima dell’incontro. Per le imprese già assistite l’Avv. Soardi è raggiungibile 24 ore su 24, 7 giorni su 7.

Dove riceve lo Studio

Soardi Studio Legale riceve a Bergamo, in Via dei Partigiani 5 (24121), e a Brescia, in Via Armando Diaz 1b. Opera con regolarità su tutto il territorio nazionale: le indagini interne si svolgono di regola presso la sede dell’impresa.

Avv. Stefano Soardi – testo redatto il 21 settembre 2026