MASTER in COMPLIANCE INTEGRATA

• Il progetto della struttura organizzativa
• La ‘lettura’ dell’organizzazione per funzioni o per processi
• Il modello organizzativo di coordinamento dei sistemi di gestione
• I sistemi di gestione di 1° e di 2° livello
• La mappatura dei processi aziendali
• La valutazione dei rischi
• L’approccio “Risk based Thinking"
• Gli 8 principi base in tema di Risk Governance enunciati nella ISO 31000
• Il Risk Assessment e Risk Management
• Lo "scenario di rischio"

• La ‘perimetrazione’ del contesto e del campo di applicazione del Risk Assessment
• Focus sul processo di Risk Assessment
• Il Trattamento dei rischi (cd “Risk Treatment”)
• I criteri di gestione del rischio:
  • approccio analitico;
  • approccio empirico.
• L’adozione delle misure e degli strumenti di controllo dei rischi
• Le definizioni di rischio "gestito", "residuo" e "residuo accettabile"
• Le fasi di monitoraggio e di riesame
• La registrazione ed il reporting dell’attività di Risk Governance

Analisi di un caso pratico

• Le origini: i compliance programs di matrice Nord-americana
• La responsabilità amministrativa (rectius penale) di società ed enti
• Il campo di applicazione del D. Lgs. 231/2001
• L’applicazione del D. Lgs. 231/2001 agli enti e alle società partecipate e il coordinamento con il sistema di prevenzione della corruzione previsto dalla Legge 190/2012
• L’assenza di obbligatorietà del MOG 231
• La lista di reati presupposto
• I requisiti essenziali ai fini dell’applicazione del D. Lgs. 231/2001
• Le sanzioni
• Il ruolo dell’ODV: composizione, requisiti dei componenti e modalità di funzionamento
• Il concetto di "Colpa di organizzazione"
• Introduzione whistleblowing
• Il whistleblowing nel settore pubblico e nelle società controllate: canali, tutele e coordinamento con il RPCT

• La natura giuridica e il fondamento normativo dell'OdV
• La Composizione, la nomina e i requisiti soggettivi dell'OdV
• I poteri dell'OdV: iniziativa, controllo e disciplina nell'ambito del MOG 231
• Il Regolamento dell'OdV: struttura, funzionamento, riunioni e verbalizzazione
• I flussi informativi verso l'OdV: whistleblowing, segnalazioni e reporting periodico agli organi apicali
• L'attività di verifica dell'OdV: metodologie di audit, risk assessment e aggiornamento del Modello 231
• L’OdV ed il sistema dei controlli interni: coordinamento con Collegio Sindacale, Internal Audit e Comitato Controllo e Rischi
• Il coordinamento dell’OdV con RPCT, OIV, DPO, Responsabile per la transizione digitale e altre funzioni di controllo negli enti e nelle società pubbliche

• La logica della corporate liability
• Focus sulle principali categorie di reati presupposto:

1. I reati in materia di corruzione, concussione
2. I reati ambientali
3. I reati in materia di salute e sicurezza
4. I reati societari
5. I reati tributari
6. I reati di riciclaggio, ricettazione ed autoriciclaggio
7. I reati informatici

• Analisi di casi giurisprudenziali

• La mappatura dei "rischi reato"
• La valutazione dei "rischi reato"
• La scelta delle misure di contenimento dei "rischi reato"
• La redazione del MOG 231:
  • parte GENERALE;
  • parti SPECIALI.
• Studio di un caso con esercitazione in merito alle attività di base da progettare e implementare
• Cenni sulla metodologia di integrazione del MOG 231 con la ISO 37001:2025.
• Il coordinamento del MOG 231 con le misure anticorruzione e trasparenza, il PIAO e i presìdi applicabili alle società partecipate e agli enti pubblici

• La normativa europea ed italiana
• Gli organi di vigilanza e le procedure ispettive
• I soggetti dell’H&S System: lavoratore, preposto, dirigente, Datore di lavoro, Coordinatori, RSPP, ASPP, etc.
• Focus sulle responsabilità civili e penali dei vari ruoli
• Il concetto di "posizione di garanzia"

• Il principio di effettività ex art. 299 del D. Lgs. 81/2008
• La delega di funzioni
• Gli obblighi connessi ai contratti di appalto, d’opera o di somministrazione:
  • la gestione della sicurezza nelle aree di lavoro e nei cantieri;
  • focus sulle responsabilità civili e penali delle varie posizioni.
• L’organizzazione della prevenzione incendi, primo soccorso e gestione delle emergenze
• Common law e Civil law: cenni in merito alle fondamentali differenze tra i due sistemi giuridici in tema di Health & Safety

Studio di un caso con esercitazione in merito alle attività di base da progettare e implementare

• Gli aspetti distintivi del GDPR rispetto alla precedente normativa
• Le ulteriori fonti di regolamentazione del data processing (D. Lgs. 196/2003 emendato, atti del Comitato Europeo per la Protezione dei Dati personali e provvedimenti del Garante Privacy).
• I principi regolanti il trattamento dei dati personali
• Le condizioni di liceità del trattamento dei dati
• Le basi giuridiche che legittimano il trattamento dati
• Focus sul "consenso" quale peculiare base giuridica
• Il trattamento dei dati personali del minore
• Le tipologie di dati personali
• I ruoli e le definizioni previsti dal GDPR: titolare, responsabile, etc.
• La figura dell’autorizzato e del delegato al trattamento ex art. 2 quaterdecies del D. Lgs 196/2003
• Focus sull’amministratore di sistema (ADS)
• L’informativa ex artt. 13 e 14 GDPR: i requisiti e le modalità di redazione
• I diritti dell’interessato

• La protezione dei dati personali by design e by default
• Il registro dei trattamenti: requisiti e modalità di redazione
• L’analisi e gestione dei rischi
• La notifica della violazione all’autorità di controllo
• La comunicazione della violazione dei dati personali all’interessato
• La valutazione d’impatto e la consultazione preventiva
• Focus sul Responsabile della Protezione dei Dati (DPO)
• Il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali
• Le norme vincolanti d’impresa
• Le autorità di controllo ed i loro poteri sanzionatori

Studio di un caso ed esercitazione

• Gli obblighi informativi nella selezione del personale
• Il diritto del lavoratore di accedere ai livelli retributivi medi per categoria, ripartiti per sesso.
• Il gender pay gap: mappatura dei rischi, reporting e audit
• Gli obblighi di rendicontazione del divario retributivo di genere
• Le sanzioni e i rimedi applicativi
• Il coordinamento tra Legal, HR, Payroll, Compliance, DPO e relazioni industriali.

• Il quadro normativo
• L’impiego dell’intelligenza artificiale nella Pubblica Amministrazione: adozione, sviluppo e procurement dei sistemi di IA e indirizzi AgID
• I fondamenti del regolamento: origini, approvazione e entrata in vigore
• Gli obiettivi, i principi fondamentali e l’architettura normativa
• La classificazione dei sistemi AI
• La classificazione di rischio inaccettabile
• I sistemi ad alto rischio
• I sistemi di IA utilizzati nei servizi pubblici, nella gestione del personale, nell’accesso a prestazioni e nei procedimenti amministrativi: individuazione dei rischi e delle responsabilità
• Gli obblighi di provider e deployer
• Gli obblighi del provider per i sistemi ad alto rischio
• Gli obblighi del deployer per i sistemi ad alto rischio
• I modelli di IA per finalità generali (GPAI)
• I modelli GPAI a rischio sistemico
• I ruoli della ‘catena di valore’: foci su provider e deployer
• La ripartizione della responsabilità e la gestione del legal risk
• Trasparenza algoritmica, tracciabilità delle decisioni, qualità dei dati e supervisione umana nei processi amministrativi supportati dall’IA
• L’architettura di enforcement e il ruolo delle autorità competenti
• Il regime sanzionatorio: gli strumenti e le strategie
• La responsabilità civile e penale derivante dal mancato rispetto dell'AI Act

• Origine e struttura della NIS 2
• Soggetti essenziali e importanti
• Pubbliche Amministrazioni ed enti pubblici nel perimetro NIS 2: criteri di assoggettamento e impatto sui servizi digitali pubblici
• Recepimento italiano: D.Lgs. 138/2024
• Governance e obblighi del management
• Responsabilità degli organi di vertice e coordinamento tra dirigenti, Responsabile per la transizione digitale, responsabili IT e funzioni di sicurezza
• Misure di sicurezza e risk management
• Notifica incidenti al CSIRT Italia
• Sicurezza della supply chain
• Integrazione con GDPR e ISO 27001
• Vigilanza ACN e regime sanzionatorio
• Gestione degli incidenti e continuità operativa nel settore pubblico: rapporti con ACN e CSIRT Italia, procurement tecnologico e sicurezza dei fornitori
• NIS 2 e Modello 231: sinergie

• La posizione del Legislatore UE in merito al fenomeno "riciclaggio"
• Il quadro nazionale delle regole in tema di riciclaggio e finanziamento del terrorismo:
  • il D. lgs. 231/07 e le norme italiane;
  • i provvedimenti della Banca d’Italia.
• La definizione penale e amministrativa di "riciclaggio"
• Gli aspetti tecnici del fenomeno del "riciclaggio"
• Cenni in merito alla normativa antimafia ed alle misure di prevenzione

• Le finalità della normativa e le definizioni
• gli organismi coinvolti
• i soggetti obbligati
• cenni in merito alle autorità di vigilanza
• focus sulla metodologia di valutazione e mitigazione del rischio-riciclaggio
• gli obblighi di adeguata verifica della clientela
• i criteri per la determinazione della titolarità effettiva dei clienti
• gli obblighi dei clienti
• gli obblighi di segnalazione delle operazioni sospette
• la tutela del segnalante
• gli obblighi di astensione dall’instaurazione del rapporto
• le limitazioni all’uso del contante
• le sanzioni

Studio di un caso con esercitazione in merito alle attività di base da progettare e implementare

La progettazione

• Cos’è il sistema di gestione della Compliance
• La terminologia
• La comprensione del ‘Contesto’
• Ruoli, leadership e responsabilità
• Processo di valutazione dei rischi di compliance

La gestione operativa del sistema integrato della Compliance

• La fase di pianificazione
• Scelta ed allocazione delle Risorse
• Attuazione dei processi
• Tecniche di proceduralizzazione delle fasi operative
• Il controllo operativo dei processi
• Monitoraggio e Continuous Improvement