L’argomento è presente in quasi tutti i Modelli 231, difficilmente avrà capacità esimente, ma normalmente è inserito per evitare eventuali sanzioni interdittive.

L’aspetto iniziale per un Organismo di vigilanza è quello di:  

• capire il livello di rischio (qui l’analisi dovrebbe essere approfondita e svolta da personale qualificato in presenza di segnali di pericolo, per esempio imprese di pulizia che lavorano in obiettivi critici, fornitori per settori difesa o istituzioni pubbliche con software o sistemi informativi critici)
• capire se vi sono disposizioni legislative vigenti sull’argomento e sul soggetto (per esempio piani di business continuità per servizi essenziali come ospedali, trasporti o utility in genere oppure autorizzazioni come nel settore della security o dell’investigazione)
• analizzare le buone pratiche in materia (settore e prodotto/servizio)    

Per livelli di rischio normali (per esempio medi – ossia presenti, ma sotto controllo e non escludibili) gli aspetti che un OdV dovrebbe valutare sono quelli estratti dalle principali guide antiterrorismo. In particolare in prima analisi:

• Sponsorizzazioni
• Personale assunto o utilizzato
• Dual use dei prodotti

In particolare dovrebbero essere presenti nel modello se il rischio è medio (protocolli).  

Sponsorizzazioni

Presenza di procedura documentata per sponsorizzazioni o simili, con definizione, controllo soggetto, autorizzazione e flusso informativo verso gli organi di controllo.  

Personale 

Presenza di procedura documentata per: richiesta di personale e profilo richiesto, congruità stipendio, conferma assenza di sanzioni o simili in materia di terrorismo, controlli previsti e eventuali flussi informativi verso gli organi di controllo.  

Dual use 

Presenza di procedura documentata per definire le schede tecniche di prodotto in termini di uso previsto e prevedibile, regole di marcatura, tracciabilità e identificazione. Eventuali identificazione doganale o per leggi specifiche sulla prevenzione del terrorismo (per esempio fertilizzanti, o software servizi pubblici).  

Nota: procedura documentata (protocollo) significa scritta e secondo le regole standard (descrizione dei processi, responsabilità, qualifica dei soggetti coinvolti, controlli e risultati attesi delle verifiche)   Sono inoltre opportuni questionari e interviste verbalizzate.  

Per rischi bassi: normalmente questionari ed interviste sono sufficienti.  

Per rischi alti: devono essere scelti specialisti del settore.

SB - luglio 2012