Controllo delle mail aziendali. Si può?

L'argomento di oggi è certamente di attualità.
Tratta del potere del datore di lavoro di controllare il lavoratore ottenendo evidenze probatorie per procedere al licenziamento per giusta causa.

Può dunque il datore di lavoro controllare la posta elettronica del dipendente?

Nella quasi generalità delle aziende strutturate, vige un regolamento interno che vieta l’utilizzo dei dispositivi elettronici aziendali per fini personali.
Ma questo generico divieto è sufficiente per legittimare i controlli sui messaggi di posta elettronica?

Una recente Sentenza della Corte Europea dei Diritti dell'Uomo (Case of Barbulescu v. Romania, Application n. 61496/08) ha ritenuto non sufficiente il generico divieto all'uso della posta aziendale per fini privati.
Nel caso trattato dalla Corte, infatti, non è stata fornita al dipendente alcuna informazione relativa alle modalità di controllo che l'azienda avrebbe messo in atto per vigilare sull'utilizzo della posta elettronica.

La sentenza è certamente importante anche perché traccia una sorta di vademecum per valutare la legittimità dei controlli aziendali sui messaggi di posta elettronica dei dipendenti.

Vediamo dunque quali sono le condizioni di base per il controllo delle mail.

Innanzitutto tali condizioni si traducono in un sostanziale obbligo da parte del datore di lavoro di informare in modo dettagliato ed esaustivo il proprio dipendente:

1. sulla possibilità che l'azienda avvii attività di controllo dei messaggi di posta elettronica;
2. sulle modalità e sullo scopo di tali controlli;
3. sul momento di inizio delle attività di accertamento.

Inoltre, quando l'attività di monitoraggio si è conclusa, l'azienda dovrà informare il dipendente riguardo:

1. quante e quali comunicazioni sono state oggetto di controllo;
2. al periodo nel quale è avvenuto il monitoraggio;
3. quante persone hanno avuto accesso ai messaggi di posta;
4. alle motivazioni che hanno spinto l'azienda a procedere alle attività di sorveglianza.

Da osservare che anche lo strumento tecnico utilizzato dall'azienda per il monitoraggio è rilevante ai fini del giudizio sulla legittimità del controllo.
Infatti la Sentenza della Corte Europea afferma con chiarezza che il controllo è in ogni caso illegittimo se potevano essere adottati metodi e/o strumenti meno invasivi della privacy del lavoratore.

E' doveroso, infine, richiamare un principio più volte ribadito dalla giurisprudenza italiana e europea che distingue le mail professionali da quelle private, le quali non possono essere in alcun modo oggetto di controllo.
Le sole email di carattere professionale possono costituire oggetto di monitoraggio esclusivamente se necessario per la sicurezza o per altri motivi legittimi e solo a seguito di preventiva informativa ai lavoratori.

In ogni caso non sono ammessi controlli prolungati, costanti o indiscriminati e non è consentito l'utilizzo di applicazioni tecniche che vigilano in modo permanente sull'utilizzo della posta elettronica da parte del lavoratore. 

Cercasi "computer & digital forensics manager"

settembre 2017



Posizione aperta:

"Computer & digital forensics manager"

Descrizione attività:

In sintesi l'informatica forense (o "computer forensics") è la scienza che studia l'individuazione, la conservazione, la protezione, l'estrazione, l'analisi e ogni altra forma di trattamento del dato informatico al fine di essere valutato in un procedimento giuridico (in sede civile, penale, amministrativa, tributaria o arbitrale) e studia, ai fini probatori, le tecniche e gli strumenti per l'esame metodologico dei sistemi informatici.

Si tratta di una disciplina di recente formazione (la sua nascita si colloca intorno al 1980 ad opera dei laboratori tecnici della FBI).

Con l'aumento dei crimini informatici e, soprattutto con una presa di coscienza da parte delle aziende che hanno finalmente cominciato a denunciare i crimini di cui sono vittime, si rende necessaria una applicazione integrale di questa disciplina.

La posizione ricercata si rivolge ad un "computer & digital forensics manager", cioè ad un professionista che già presta la sua opera nell'ambito della lotta ai reati informatici (o cybercrime). 

Le attività di computer forensics sono dirette non solo a tutte le categorie di computer, ma a qualsiasi attrezzatura o supporto elettronico con capacità/potenzialità di memorizzazione dei dati (ad esempio smartphone, sistemi di domotica, stampanti, sistemi di navigazione, flash memory e in generale tutto ciò che contiene dati memorizzati). 

Requisiti richiesti:

Titoli preferibili:

• laurea in informatica; 
• ingegneria informatica; 
• ingegneria elettronica. 

Saranno prese in considerazione candidature con lauree in:

• matematica; 
• fisica. 

Saranno considerati titoli di merito:

• eventuali specializzazioni in Computer Forensics (corsi accademici); 
• corsi e certificazioni relativi alla Computer Forensics (corsi professionali). 

Capacità/Esperienze:
Al candidato sono richieste conoscenze approfondite a livello logico\architetturale (non solo sistemistico) relative a:

• Sicurezza logica dei sistemi informativi; 
• Architetture di rete; 
• Architetture dei sistemi informativi; 
• DBMS; 
• Sistemi operativi Unix\MS Windows\Apple Mac Osx\IOS\Android;
• cybercrime. 

In alternativa alla specializzazione in Computer Forensics si richiedono alternativamente:

• 4-5 anni di esperienza lavorativa nel campo della Computer Security;
• 4-5 anni di esperienza lavorativa nell'ambito dei team di computer forensics delle società di consulenza o big4.

Completa il profilo:

• ottima conoscenza dell’inglese parlato e scritto; 
• disponibilità a trasferte non solo in Italia; 
• flessibilità di orario.

Alla risorsa ricercata sarà attribuita la responsabilità di sviluppare e gestire un laboratorio informatico e di coordinare 2-3 professionisti junior.

I candidati possono inoltrare il CV aggiornato al seguente indirizzo di posta elettronica:

info.fraud.auditing@gmail.com

Intelligence Analysis: il metodo delle "ipotesi concorrenti"

A volte capita che le metodologie seguite dagli apparati d'intelligence per l'analisi dei modelli mentali complessi sia teorizzata da veterani dei servizi segreti, accademici e studiosi comportamentali.

Questo è il caso della metodologia di "analisi delle ipotesi concorrenti" (in codice "ACH") adottata dalla Central Intelligence Agency statunitense.

Nel corso degli anni '80 e '90 la "Divisione Analisi" della CIA ha commissionato a Richards "Dick" J. Heuer, Jr. una serie di articoli e saggi  sulle esperienze maturate nei 45 anni passati come analista d'intelligence, agente operativo del controspionaggio, addetto alla protezione di personalità aventi ruoli strategici ed esperto di operazioni sotto-copertura di raccolta, catalogazione e organizzazione di informazioni sensibili.

Heuer ha teorizzato le sue esperienze nel libro "Psychology of Intelligence Analysis" il cui .pdf può essere scaricato gratuitamente sul sito della CIA (clicca QUI).

Un agente segreto, ma ciò potrebbe valere per qualsiasi investigatore, si trova spesso a dover analizzare scenari diversi, orizzonti variabili e ipotesi alternative con l'obiettivo di formulare conclusioni, spesse volte senza avere a disposizione prove e/o informazioni convincenti o sufficienti.

L'analista d'intelligence solitamente ha poco tempo per valutare la situazione dovendo scegliere tra quale dei possibili scenari sia il più probabile o quale delle spiegazioni sia la più corretta. La sua capacità valutativa, inoltre, è influenzata (anche inconsciamente) dai propri pregiudizi, dalle esperienze pregresse, dagli eventi della vita e dalle pressioni derivanti dall'operare in ambienti sfavorevoli, se non ostili.

Il rischio principale, tipico anche dell'ambiente giudiziario, è il cedere alla "strategia satisficing" (sulla quale in blog tornerà con un articolo specifico) in cui l'analista predilige la tesi più semplice rinunciando a proseguire nell'analisi di ulteriori elementi. In questo caso l'agente disegnerà lo scenario più aderente alla propria soluzione piuttosto che esaminare tutte le possibilità al fine di identificarne una migliore o più probabile.

La strategia satisficing ha determinato grandi insuccessi nelle attività d'intelligence, pertanto si sono ricercati metodi e criteri più rigorosi per impostare le analisi.  

Da qui la nascita del metodo ACH, cioè del procedimento fondato sui concetti base della psicologia cognitiva, dell’analisi decisionale e del principio scientifico. Il metodo si basa su otto passaggi, mediante i quali l'analista cerca di standardizzare i meccanismi che gli consentono di pervenire a determinate conclusioni.

Gli otto pilastri su cui poggia il metodo di analisi delle ipotesi concorrenti sono:

1. INDIVIDUAZIONE DELLE IPOTESI: se un investigatore non riesce a generare ipotesi da considerare, non otterrà mai la risposta giusta! Il primo suggerimento è elencare le ipotesi più ragionevoli e pertinenti, ma anche quelle sperimentali o irragionevoli, quelle più compatibili con lo scenario o con le informazioni di altre agenzie d'intelligence, le ipotesi semplici e quelle più complesse. 
2. ELENCARE GLI INDIZI: per ognuna delle ipotesi sarà necessario porsi le seguenti domande: se questa ipotesi è vera, cosa dovrei aspettarmi di vedere o di non vedere? Quali sono le cose che saranno successe, o che stanno per succedere? Per quali di questi eventi devo aspettarmi di trovare delle prove? Tenendo sempre presente che l’assenza di indizi è significativa quanto la loro presenza.
3. CORRELARE LE PROVE/INDIZI ALLE IPOTESI: attraverso la creazione di una matrice con le ipotesi nell'asse orizzontale e gli indizi nell'asse verticale, si darà una visione generale di tutti i componenti significativi del problema.
4. PERFEZIONAMENTO DEL QUADRO D'INSIEME: si dovrà perfezionare la matrice eliminando le ipotesi meno probabili ponendosi queste domande: questa ipotesi è necessaria? In assenza di prove o indizi convincenti una o più ipotesi sono da eliminare? Oppure da fondere in un unico scenario? Eccetera.
5. TRARRE CONCLUSIONI PROVVISORIE: si elencheranno le ipotesi in base alle connesse probabilità di accadimento. Non sarà la conferma di quanto ricercato ma solamente una tappa intermedia che dovrà facilitare una valutazione adeguata, ragionevole e meditata di tutte le alternative. 
6. L'ANALISI DEI FATTORI CRITICI: per ciascuna delle ipotesi formulate si dovranno individuare delle ragioni contrarie o critiche che ne potrebbero minare la fondatezza. Si dovrà prendere in considerazione l'eventualità che gli indizi siano sbagliati ovvero fuorvianti o sottoposti a diversa interpretazione.
7. ESPLICITARE LE CONCLUSIONI: organizzare un "brainstorming" con altri analisti d'intelligence servirà ad individuare ulteriori vulnerabilità del ragionamento seguito. Non essendo mai certe le conclusioni dell’analisi, è necessario condividere anche i motivi per i quali le ipotesi meno probabili sono state accantonate.
8. PREVISIONE DELLO SCENARIO: Tenuto conto che le conclusioni dell’analisi dovranno essere sempre considerate come provvisorie, in considerazione di tutto il processo cognitivo seguito, si formulerà lo scenario più probabile. Tutti gli scenari dovranno sempre essere monitorati e aggiornati all'ottenimento di nuovi indizi.

Sono legittime le videoregistrazioni per perseguire gli illeciti?

Qualche giorno fa un lettore del blog ha posto questa domanda: "Sono legittime le videoregistrazioni nei luoghi di lavoro per perseguire gli illeciti?" e in quanti casi "le attività di forensic accounting sono facilitate da tali riprese?".

Questo è un argomento già trattato dalla Corte di Cassazione con Sentenza n. 30177 del 15 luglio 2013, la quale ha precisato che sono utilizzabili le videoregistrazioni effettuate dal datore di lavoro laddove agisca non per controllare la prestazione lavorativa ma per specifici casi di tutela dell’azienda.

Questa è la discriminante tra videoriprese legittime e illegittime!

Per i magistrati della Suprema Corte il divieto di controllo dell'attività lavorativa "non impedisce, invece, i controlli destinati alla difesa dell’impresa rispetto a specifiche condotte illecite del lavoratore o, comunque, a tutela del patrimonio aziendale".

Conseguentemente si conferma la piena utilizzabilità delle videoregistrazioni al fine della prova dei reati, anche se le riprese sono effettuate su disposizione e valutazione del datore di lavoro, laddove quest'ultimo agisca con il fine esclusivo di tutelare la propria azienda rispetto a specifici illeciti.

Pertanto l'esito degli accertamenti svolti grazie alle tecniche di forensic accounting, è certamente favorito dall'utilizzabilità delle videoregistrazioni, nei casi, per fare qualche esempio, di magazzinieri, cassieri o custodi responsabili di furti di beni e/o liquidità ovvero nei casi di dipendenti infedeli che compiono atti di sabotaggio o danneggiamento nei confronti dell'azienda.

Il "metodo a tavolino". Le infiltrazioni dei clan negli appalti pubblici

di Valentina Maiolli *

Dalle ultime analisi condotte dalla Direzione Investigativa Antimafia (DIA), relative al primo semestre dello scorso anno, viene confermata l'infiltrazione delle organizzazioni criminali nell'economia legale e il loro particolare interesse per il settore degli appalti.

Le mafie sono in grado di condizionare l'assegnazione delle commesse e si inseriscono nella gestione degli appalti con tecniche e meccanismi talvolta molto sofisticati.
Si tratta ormai di un fenomeno che colpisce l'intero Paese, non soltanto le regioni meridionali.

Le indagini svolte hanno fatto emergere collusioni tra organizzazioni criminali, apparati amministrativi, politici e imprenditoriali.
Tali rapporti, incrementati da pratiche corruttive e clientelari, si concretizzano principalmente attraverso la creazione di imprese schermate da interposizioni fittizie di persona, l'illecita concessione di autorizzazioni, licenze e varianti urbanistiche, l’imposizione di assunzioni, di lavori e manutenzioni, fino all'aggiudicazione delle gare alle imprese criminali.

Per raggiungere questi obiettivi i clan si servono della consulenza e dell'attività dei colletti bianchi sfruttando la mancanza di controlli nel settore.

Il c.d. "metodo a tavolino" risulta il più utilizzato per orientare le gare di appalto e consiste nella programmazione illecita delle gare con accordi taciti di rotazione. Di fatto, le imprese partecipanti si impegnano, a turno, ad offrire nel corso della gara il maggior ribasso, già concordato tra loro preventivamente, ottenendo così la certezza dell'aggiudicazione dell'appalto.

Alla luce delle complesse modalità di infiltrazione nel settore risulta pertanto necessario un attento monitoraggio delle commesse e degli appalti pubblici, attraverso controlli sia preventivi che successivi allo svolgimento della gara, per evitare la partecipazioni di imprese criminali con conseguenti rischi di pratiche corruttive e alterazioni degli equilibri di mercato.


-----------------------------------------------
* Valentina Maiolli, esperta controlli e modelli di prevenzione antifrode
Forensic Accounting Department, Axerta Investigation Consulting (www.axerta.it)

Il lato oscuro del principio del puzzle

Abbiamo già parlato in passato della "segregation of duties" come arma efficacie nel contrasto alle frodi aziendali, così come della "tecnica della frammentazione" utilizzata dai riciclatori per occultare i proventi illeciti.
Abbiamo già parlato, cioè, delle due metodologie utilizzate sui fronti opposti da guardie e ladri.

Oggi tratteremo, invece, del "principio del puzzle".

Si tratta di una metodologia per così dire "neutra", utile sia nella prevenzione degli illeciti societari ma assai utilizzata anche dalla criminalità economica, soprattutto da quella più sofisticata.
Essendo questo un blog dedicato soprattutto alla patologia, parleremo oggi proprio del lato oscuro del principio del puzzle, rimandando ai futuri interventi i possibili utilizzi ai fini preventivi.

In buona sostanza, il principio del puzzle è un antichissimo sistema di protezione dei dati e delle informazioni.
Funziona grazie ad una suddivisione assoluta tra chi detiene le chiavi, ad esempio di una cassaforte, chi conosce il luogo fisico in cui è ubicata e chi ne conosce il contenuto.

Le informazioni sul trinomio "chiave-luogo-contenuto" concentrate rispettivamente su "custode-ricognitore-informato", garantisce la separazione tra "luoghi e funzioni". Conseguentemente ogni anello della catena, che potrebbe assumere uno schema più complesso di quello appena descritto, conosce soltanto la parte di cui si occupa e non sa nulla del quadro d'insieme.

Pertanto la suddivisione statica e impermeabile dei dati e delle informazioni su diversi soggetti garantisce la segretezza.

Il beneficiario finale dell'operazione illecita saprà, quando necessario, riunione tutti i tasselli del puzzle al fine di ottenere il vantaggio desiderato. Egli, al pari di un direttore d'orchestra, chiamerà i singoli strumenti a partecipare al buon esito della sinfonia, ottenendo il massimo del risultato.

Un metodo uguale (ma concettualmente contrario) al "principio del puzzle", altrettanto utilizzato per occultare le informazioni, è il "principio di Anassimandro", che si basa sull'accesso completo alle informazioni da parte di tutti. 

Tuttavia queste informazioni sono pressoché illimitate e quindi difficilmente gestibili e decifrabili da chi non conosce l'effettivo schema della frode.
Ma di questo argomento tratteremo nei prossimi post.

Mystery Audit: uno strumento innovativo per la valutazione della qualità e delle performance

di Valentina Maiolli

Questa (relativamente) nuova tipologia di audit costituisce un valido strumento per verificare e monitorare, in tempi reali, la qualità dei servizi o prodotti resi dalle società e per la valutazione delle performance. L’approccio ispettivo del Mystery Auditor, nel garantire l’imparzialità e la trasparenza, permette di capire i punti di forza e debolezza delle offerte delle aziende con una pratica focalizzata sul cliente. 

Di fatto l’Auditor, in incognito, quindi in modo non annunciato, si cala nei panni di un cliente con la finalità di analizzare e valutare la qualità dei servizi o prodotti offerti dalle società e, nel contempo, di determinare la percezione e il grado di soddisfazione del fruitore del servizio stesso.

Con questa tipologia di audit le organizzazioni possono verificare l’efficacia e l’efficienza dei servizi o prodotti erogati, focalizzando l’attenzione sulla percezione che la clientela ha degli stessi, ottenendo valutazioni oggettive e analizzando diversi aspetti come la struttura, il personale, i processi, la qualità.

Si tratta senza dubbio di uno strumento innovativo in grado di misurare le  performance di erogazione di un servizio combinando due importanti metodi di valutazione: l’imprevedibilità del controllo e la tempestività dei risultati ottenuti, che possono essere disponibili anche dal giorno dopo la visita svolta.

In base al settore di riferimento si possono individuare diverse tipologie di Mystery Audit. Si parla, ad esempio, di Mystery Shopper, se viene simulato un acquisto, di Mystery Guest, se viene simulata una visita presso una struttura ricettiva, e di Mystery Patient se invece vengono monitorati i servizi resi da una struttura sanitaria.

Questa tipologia di audit, in realtà, non è di recente costituzione e affonda  le proprie radici agli inizi del ‘900 come particolare forma di investigazione con lo scopo di incrementare la qualità del servizio offerto al cliente. Il crescente interesse per questi controlli ha portato, nel tempo, all'emanazione delle linee guida UNI/TS 11312 “Qualità dei servizi. Linee guida per audit in incognito”.

I destinatari sono principalmente le aziende che erogano servizi pubblici e privati nel settore del turismo, dell’ospitalità, della ristorazione, della cultura e del divertimento, della sanità, dei trasporti ma anche gli esercizi commerciali, le banche e le assicurazioni, i servizi professionali nonché la pubblica amministrazione.

Trattando di questa particolare metodologia non possono essere tralasciati alcuni importanti aspetti etici come l’opportuna condivisione delle attività da parte dei sindacati o delle associazioni di categoria e la conoscenza da parte del personale verificato della possibilità che il proprio operato possa essere oggetto di audit in incognito con la consapevolezza che le risultanze non potranno essere utilizzate per l’applicazione di sanzioni o provvedimenti disciplinari.

 I Mystery Audit costituiscono, pertanto, un importante strumento per  le direzioni aziendali, gli imprenditori e per i manager per verificare i livelli prestazionali di un servizio, le performance dei processi, migliorare i servizi offerti, valutare la competenza del personale e stimolare una maggiore attenzione alle esigenze e aspettative dei clienti con lo scopo di diventare più competitivi sul mercato.

"Corruzione, frodi sociali e frodi aziendali", di Angelo Jannone

La rubrica "sulla mensola del fraud auditor" è stata pensata per dare agli addetti ai lavori o ai cultori della materia, strumenti utili ad approfondire le varie tematiche legate alla prevenzione dei rischi di frode e alle indagini nell'ambito aziendale.

E' capitato in passato di promuovere testi squisitamente accademici, altre volte molto teorici, a volte molto didascalici e altrettante volte scritti sotto forma di manuale pratico.

Oggi, dopo un'attenta lettura, presentiamo uno scritto assolutamente completo, idoneo come strumento di formazione per il giovane laureando nelle discipline economico-investigative così come all'addetto ai lavori o ancora al neofita di questi temi.

Si tratta di un testo redatto da un super esperto delle indagini, già Colonnello dei ROS, impiegato in numerose attività di contrasto alla criminalità mafiosa ed economica. 

Docente, divulgatore, professionista e autore di numerosissime pubblicazioni riguardanti il mondo dell'Intelligence, della criminalità economico-finanziaria e della cronaca nera e giudiziaria che ha influenzato molto della storia italiana, passata e recente.

Si sta parlando di Angelo Jannone, prima ufficiale dei Carabinieri, poi manager di importanti società private italiane, professionista esperto nella lotta contro gli illeciti societari ed ora Chief Executive Audit di Italiaonline.

Solo chi può vantare una brillante carriera maturata sul campo può scrivere un testo dal titolo impegnativo quale "CORRUZIONE, FRODI SOCIALI E FRODI AZIENDALI", senza incappare nel rischio di incorrere in banali semplificazioni o teoriche, quanto improbabili, descrizioni di fantasiosi schemi di frode.

Dalla lettura del testo si comprende subito che Jannone ciò che ha scritto, lo ha vissuto davvero. 

D'altra parte, anche altri assoluti protagonisti del settore delle investigazioni economico-finanziarie hanno voluto dimostrare la vicinanza all'autore scrivendo la prefazione e la presentazione al libro.

Si tratta rispettivamente di Fabio Tortora, notissimo Presidente del Chapter italiano di ACFE - Association of Certified Fraud Examiners, cioè l'associazione dei professionisti anti-frode, e di Roberto Pennisi, importantissimo magistrato della Procura Nazionale Antimafia con oltre 35 anni alle spalle di lotta contro 'ndrangheta ed eco-mafie.

Questo testo, seppur con alcuni tecnicismi, è adatto a tutti gli interessati ad argomenti quali la lotta alla corruzione, il contrasto agli illeciti societari, le scienze criminologiche, le tecniche di prevenzione dei rischi di frode attraverso il potenziamento dei sistemi di controllo interno aziendale e le investigazioni interne finalizzate alla redazione di consulenze tecniche di parte.

Interessantissimo è il paragrafo 6 del capitolo 5, dedicato proprio alle investigazioni.

In questo paragrafo Angelo Jannone, forte della sua esperienza maturata nel Raggruppamento Operativo Speciale dell'Arma dei Carabinieri, tratta un argomento che altri autori hanno preferito non affrontare: quello legato ai rapporti con la Polizia Giudiziaria che il forensic accountant è chiamato a saper gestire nell'ambito degli incarichi di contenuto penale.

In questa parte del libro si è riscontrata la profonda competenza di Jannone in questo particolarissimo settore della scienza forense, soprattutto quando vengono affrontate le tecniche di redazione del "fraud report" e le caratteristiche della testimonianza del consulente tecnico in sede penale, molte volte nella veste di ausiliario del Pubblico Ministero.

Insomma un testo dal quale il blog, previo consenso dell'autore, trarrà spunto per molti altri articoli di carattere tecnico e scientifico, anche per le tematiche attualissime legate sia alla figura del "whistleblower" (già, affrontate in passato dal blog) che ai protocolli operativi di prevenzione dei rischi di corruzione.

"Corruzione, frodi sociali e frodi aziendali - dalla prevenzione al contrasto", collana "Criminologia", edito da FrancoAngeli, 226 pagine, è disponibile ad un prezzo di 20 € cliccando QUI.

Fraud interviewing techniques: la "tecnica peace"

In Italia le tecniche di interrogatorio trovano un limite giuridico nell'art. 188 del Codice di Procedura Penale, che dispone la non utilizzabilità, "neppure con il consenso della persona interessata, [di] metodi o tecniche idonei a influire sulla libertà di autodeterminazione o ad alterare la capacità di ricordare e di valutare i fatti".

In passato abbiamo già affrontato l'argomento con un articolo dedicato alla "tecnica dell'imbuto", ma la materia è in costante evoluzione grazie ai contributi e agli studi multidisciplinari nei campi giuridici, criminologici, sociologici e della cosiddetta "psicologia investigativa" e/o cognitiva.

Naturalmente le tecniche d'interrogatorio introducono aspetti metodologici e procedurali diversi, in relazione alle finalità e al contesto che si sta perseguendo. In altre parole, le tecniche utilizzate dalle Polizie Giudiziarie saranno molto diverse da quelle adottate nell'ambito delle attività di forensic accounting e delle procedure preventive anti-frode (fraud auditing) nei contesti aziendali.
Così come le metodologie sono differenti a seconda della legislazione vigente.

Per tali motivi si stanno sviluppando studi dedicati esclusivamente alle investigazioni aziendali (le cd. "fraud interviewing techniques") in cui i termini e gli approcci sono pensati per essere utilizzati al fine di tutelare interessi e patrimoni aziendali.

Pertanto, in alternativa al termine "interrogatorio" è utilizzato il termine "intervista" e le procedure di assunzione delle informazioni sono mirate a garantirne una qualche utilizzabilità in sede legale.

In particolare, fra le tante tecniche utilizzate dai forensic accountant se ne può certamente menzionare una sviluppata in Inghilterra, la cosiddetta "intervista cognitiva", altrimenti conosciuta dagli addetti ai lavori come "tecnica PEACE".

Tale metodologia prevede che l'intervistatore utilizzi una sequenza di attività che devono necessariamente essere svolte in successione e nell'ordine previsto, che sono sintetizzate con l'acronimo "PEACE".
Vediamole in sintesi.

P-preparation - l'investigatore dovrà studiare il fascicolo d'indagine, i profili di rischio della sua attività e i soggetti oggetto di verifica. Dovrà analizzare il contesto aziendale in cui dovrà operare: la struttura, l'organizzazione, la dimensione, il mercato, i competitor, le procedure interne, l'ambiente di lavoro eccetera. Dovrà definire gli obiettivi della sua attività e scegliere le metodologie tecniche e i protocolli d'indagine da seguire.

E-engagé, explain - è la fase introduttiva (o d'ingaggio) del rapporto tra intervistatore e intervistato, del quale è necessario aver preventivamente raccolto tutte le informazioni disponibili (personali, aziendali, sociali).

A-account - è la fase di acquisizione e organizzazione delle informazioni. Solitamente l'investigatore segue un protocollo di intervista adottando altre tecniche sviluppate per questa specifica fase, una delle quali è proprio la "tecnica ad imbuto". La scelta della tecnica di intervista è fatta sulla base delle informazioni acquisite in precedenza, dell'obiettivo dell'intervista e del profilo psicologico dell'intervistato.

C-close - in questa fase sono definiti e ricapitolati gli argomenti trattati. Le tecniche di chiusura dell'intervista possono prevedere una verbalizzazione, un semplice rinvio ad altra data, una produzione di evidenze documentali da parte dell'intervistato eccetera.

E-evaluate - è il momento delle valutazioni delle informazioni e dei dati raccolti. Può essere base per una nuova fase P-preparation, per successive e ulteriori interviste.

Ma la procedura, in quanto "cognitiva", dovrà dapprima essere finalizzata a ricreare il contesto storico/ambientale entro il quale l'evento fraudolento si è determinato (ad esempio, si dovranno ricostruire gli avvenimenti/motivazioni che hanno portato a falsificare il dato del fatturato oppure alla sottrazione di liquidità dalle casse aziendali), per poi chiedere al soggetto di riferire a riguardo.
Ogni ricordo e particolare che emergerà dall'intervista dovrà essere considerato come elemento di progresso nell'indagine.

In seguito si dovranno applicare le "tecniche di controllo" per certificare se quanto riferito è frutto di fantasia/immaginazione, di menzogna o di realtà.
Pertanto si chiederà di ricostruire il medesimo evento ma in ordine diverso da quello cronologico ovvero mutando la prospettiva della scena oppure ancora come se il fatto fosse visto da un'altra persona. Anche in questo caso sono moltissime le tecniche di controllo per verificare la bontà delle informazioni raccolte.

In generale, infine, valgono le regole di ogni buona intervista investigativa:

1. acquisire le informazioni in modo formalmente ineccepibile;
2. garantire la loro piena utilizzabilità in fase processuale/legale;
3. puntuale rispetto delle norme giuridiche che riguardano le modalità di assunzione delle informazioni.

Sottrazioni di cassa? La Cassazione propone una soluzione

La Sezione Lavoro della Corte di Cassazione, nel dicembre 2014, ha emesso una sentenza di fondamentale importanza nella lotta agli illeciti commessi dal lavoratore che non riguardino il mero inadempimento della prestazione, bensì quando incidano sul patrimonio aziendale.

Si tratta della Sentenza n. 25674 emessa il 4 dicembre 2014, che, confermando un orientamento ormai consolidato, ritiene legittimi ed esenti da violazioni dello Statuto dei lavoratori, i controlli del datore di lavoro a mezzo di agenzia investigativa se diretti non a verificare il mero eventuale inadempimento contrattuale del lavoratore, ma illeciti riguardanti il patrimonio aziendale.

Il casus decisus riguardava una cassiera di un supermercato che aveva omesso di registrare la vendita di alcuni prodotti non facendoli passare sullo scanner per la lettura del codice a barre e si era intascata le relative somme.

Il datore di lavoro aveva verificato alcune differenze di magazzino confrontando i codici che si dovevano trovare in giacenza rispetto alle quantità vendute, grazie ad inventari fisici mirati. Si era avvalso pertanto di un'agenzia investigativa specializzata nell'ambito corporate, con lo scopo di documentare gli illeciti del lavoratore. Peraltro l'agenzia investigativa incaricata dal datore di lavoro, aveva accertato che tale comportamento era reiterato anche a distanza di alcuni giorni.

La Cassazione ha dato ragione al datore di lavoro, ritenendo legittimo il licenziamento intimato per giusta causa alla dipendente in seguito alle evidenze raccolte dagli investigatori,  che dimostravano con evidente chiarezza ciò che il datore di lavoro aveva solo sospettato. Un furto di cassa.

Nel caso di specie è stata ritenua non sproporzionata la sanzione del licenziamento per giusta causa, giustificata nella sua gravità dall'accertata reiterazione del fatto e delle funzioni particolarmente delicate e di responsabilità attribuite all'addetta alla cassa: elementi che fanno venir meno il legame fiduciario alla base del rapporto di lavoro subordinato.

Conseguentemente, la Cassazione ha confermato la legittimità del licenziamento sul presupposto che, nel caso in esame, si era "trattato di controlli diretti a verificare eventuali sottrazioni di cassa" e quindi con scopo di salvaguardia del patrimonio aziendale.

Per un approfondimento si veda quanto già pubblicato sul blog con riferimento alla "conta di cassa a rischio di frode".

Seminario sulle tecniche di computer forensic (Milano, febbraio 2015)

TRE14 S.R.L.

(www.tre14.it)

la società milanese Tre14

focalizzata nel settore dell'investigazione digitale

organizza un seminario

dal titolo:

L’impiego della computer forensics 

in ambito penale:

tecniche, strumenti e casi pratici

L'evento è GRATUITO e potranno partecipare i soli AVVOCATI PENALISTI.

Sono in programma altri incontri espressamente rivolti agli avvocati civilisti, ai dottori commercialisti, ai curatori fallimentari ed alle aziende secondo un calendario che sarà via via pubblicato sul sito di Tre14 (www.tre14.it/eventi) e sul blog "Fraud Auditing & Forensic Accounting".

Al fine di partecipare all'incontro non è richiesto un background tecnico-informatico, in quanto l’esposizione è orientata alla presentazione di casi realmente trattati nei quali si mostrano le potenzialità delle metodiche informatiche applicate a procedimenti penali.

L’evento si terrà presso la sede della società Tre14 Srl, via G. Prati 4, Milano, a scelta tra le seguenti date:

- 12/2/2015 dalle ore 16.00 alle ore 17.30

- 17/2/2015 dalle ore 16.00 alle ore 17.30

I posti sono limitati e la partecipazione è vincolata all'effettiva disponibilità, pertanto si invita chi fosse interessato a comunicare la sua adesione inviando una email al seguente indirizzo di posta elettronica: eventi@tre14.it

All'incontro interverrà il dott. Stefano Martinazzo, dottore commercialista e fraud auditor presso JNP Srl (www.jnpforensic.com) ed è previsto un dibattito conclusivo tra i partecipanti sulle tematiche trattate.

Al termine dell’evento sarà offerto un rinfresco di saluto e sarà distribuita una copia del “Glossario ragionato dei principali termini di informatica forense, edizione 2015”.

*    *    *

Argomento dell’incontro

La computer forensics è la disciplina scientifica che fornisce valore probatorio a evidenze digitali estratte da PC, server, smartphone e web/cloud.
Vengono utilizzate tecniche, metodologie e apparecchiature – imposte anche dalla L. 48/2008 – per assicurare che i dati elettronici, estremamente volatili, non subiscano alterazioni durante i processi di estrazione e analisi, garantendo l’integrità delle tracce digitali originali.

Ma la computer forensics è anche altro: utilizza software particolari e specifici che permettono di ricostruire le attività di un utente, ricercare elementi precisi, effettuare confronti e trovare corrispondenze anche in presenza di enormi quantità di file.
Tali software possono anche essere utilizzati direttamente anche da persone di nessuna esperienza tecnica, ma di competenza specifica del problema reale (avvocato, commercialista o parte lesa che sia).

Dopo una breve introduzione specifica dell’ambito della computer forensics, l’incontro ha lo scopo di presentare, tramite casi reali, come le tecniche informatiche possano essere di utilità nella ricostruzione degli eventi di causa. Tra i casi trattati:
- furto di dati aziendali
- diffamazione via web/mail, stalking
- accesso non autorizzato a sistemi aziendali
- ricostruzione economica-finanziaria di danni o di situazioni societarie

I relatori

Alessandro Borra, titolare della società Tre14 Srl. Possiede una profonda conoscenza delle tematiche di sicurezza in ambito IT e vanta una lunga e diffusa esperienza in ambito tecnico e manageriale sviluppata in diverse società private. Laureato in Fisica, è consulente di digital forensics con un’elevata competenza delle tematiche giuridiche e di procedure, metodologie di trattamento e tecniche di analisi dei dati elettronici. Ha partecipato come CTU/CTP a diversi eventi giudiziari di rilevanza nazionale. E’ accreditato nell’Albo dei Consulenti Tecnici presso il Tribunale Ordinario di Milano, sia in materia di diritto civile che penale ed è responsabile del settore categorico ‘elettronica e informatica’ nel Collegio Lombardo Periti Esperti Consulenti.

Stefano Martinazzo, Dottore Commercialista iscritto all'Ordine di Milano e Revisore Legale dei Conti, laureato in Economia Bancaria, Finanziaria e Assicurativa, ha maturato oltre quindici anni di esperienza come fraud auditor, dapprima presso il dipartimento di Forensic Accounting & Litigation di KPMG Advisory S.p.A. di Milano e, a partire dal 2010, presso JNP S.r.l.. Si occupa principalmente della gestione e dello svolgimento di incarichi professionali di contenuto investigativo in materia economico-finanziaria e contabile, intervenendo nei casi di frode ed illecito societario. Ha fornito supporto tecnico in occasione di numerose indagini promosse dalla magistratura milanese in materia contabile, amministrativa e finanziaria. In questo ruolo, maturato in occasione di inchieste di primaria rilevanza, ha analizzato parecchie fattispecie di reato societario, quali per elencare alcune: false comunicazioni sociali, appropriazione indebita, frode fiscale, corruzione e concussione, aggiotaggio, riciclaggio, truffa e i reati previsti dal D.Lgs 231/01.

Maurizio Bedarida, ingegnere elettronico laureato presso il Politecnico di Milano, vanta 25 anni di esperienza nel settore della sicurezza informatica, sia in ambito pubblico che privato. Da anni è consulente tecnico informatico per diversi Pubblici Ministeri presso numerose Procure italiane con competenza sia nei crimini informatici che nella fraud analysis. Vanta un’approfondita esperienza diretta nella progettazione e gestione della sicurezza di infrastrutture informatiche critiche, di sistemi di gestione della Sicurezza Informatica, di reti di telecomunicazioni, di cybercrimes e di data mining.

Il "Referente Antifrode" nel settore assicurativo

Il blog si è già occupato in passato di frodi assicurative, tuttavia è bene ritornare sull'argomento vista la recente disposizione emanata dalla divisione Antifrode dell'Istituto per la Vigilanza sulle Assicurazioni (IVASS).

Grazie a questo provvedimento datato 21 maggio 2014 (prot. n. 47-14-001794) tutte le imprese di assicurazione sono tenute a nominare un "referente" per le attività antifrode.

Che i fraud auditor entrino ufficialmente nel mondo assicurativo e possano agire in piena libertà ed efficacia lo si vedrà molto presto.
Infatti la nomina del Referente Antifrode (RAF) ed il conferimento dei relativi poteri di rappresentanza dovrebbero essere avvenuti entro il 20 luglio scorso, cioè entro i 30 giorni messi a disposizione degli organi societari per prendere i necessari provvedimenti.

Al momento non si hanno informazioni sull'effettivo adempimento a tali disposizioni.

Ma quali dovranno essere in concreto i compiti del Referente Antifrode?
Innanzitutto la disposizione emanata dall'IVASS specifica tre mansioni principali; nell'ordine:

1. attività antifrode;
2. adempimenti riconducibili all'Archivio Informatico Integrato (AII);
3. attività di collegamento, coordinamento e collaborazione con gli organi di Polizia Giudiziaria.

Entrando, seppur sinteticamente, nel merito delle competenze richieste al RAF, si comprende subito che la disposizione dell'IVASS prevede un'insieme di compiti vastissimo che il referente, con molta probabilità, dovrà gestire mediante un proprio team di esperti appositamente formato e dedicato.

Da qui l'esigenza di costituire un'Unità Antifrode diretta dal RAF.

Dovrà essere una vera e propria struttura d'intelligence con compiti investigativi e di prevenzione, dotata delle caratteristiche già illustrate dal nostro blog nel post "Frodi assicurative: ruoli e competenze del fraud auditor", al quale si rimanda per gli approfondimenti.

Questa Unità sarà chiamata ad individuare situazioni anomale attraverso attività di raccolta, incrocio ed analisi dei dati presenti nelle varie piattaforme informative aziendali ed extra-aziendali (comprese le cosiddette fonti pubbliche o "fonti aperte") al fine, da un lato, di effettuare le indagini interne e dall'altro di segnalare i presunti fenomeni fraudolenti all'Autorità Giudiziaria competente.

Inutile sottolinearlo, ma le strutture antifrode affinché possano portare un concreto beneficio alla redditività aziendale devono essere dotate di un budget sufficientemente capiente per effettuare i necessari investimenti nel campo informatico e nella formazione del personale.

La direttiva dell'IVASS aggiunge un compito fondamentale per il Referente Antifrode. 

Una novità, almeno per il mondo assicurativo: il ruolo di collegamento con le forze di Polizia Giudiziaria con le quali deve essere instaurato un solido rapporto, basato innanzitutto su principi di leale collaborazione.

Infine tra le attività di competenza del RAF trova massimo rilievo la prevenzione del rischio di frode.

E ciò deve avvenire anche in coordinamento con le altre strutture di controllo, quali ad esempio l'Organismo di Vigilanza previsto dal D.Lgs. 231/01 (anche in questo caso il blog ha già trattato l'argomento nel post "Prevenire le frodi attraverso il modello organizzativo 231. Utopia?").
Il RAF in questo caso potrebbe ricoprire il ruolo di membro dell'OdV e divenire uno strumento utile anche per le verifiche di competenza di quest'ultimo organismo.

Prevenire le frodi significa istituire opportune procedure basate su una conoscenza minuziosa di un business particolare e caratteristico quale quello assicurativo, tenendo in considerazione i principi ispiratori dei più evoluti ed efficaci modelli di fraud risk management.

Il tempo e le statistiche sugli esiti della repressione dei fenomeni fraudolenti ci sapranno dire se la strada imboccata dall'IVASS si dimostrerà quella giusta.

s.m.

Consulenza tecnica giudiziaria in materia 231

di Stefano Martinazzo

Nell'ambito dell’attività professionale esercitata come fraud auditor a favore di aziende e di studi legali, non è raro essere chiamati ad assumere il ruolo di Consulente Tecnico del Pubblico Ministero al fine di condurre accertamenti mirati ad individuare eventuali irregolarità tali da configurare violazioni ai sensi del d.lgs. 231/01.

In base a recenti esperienze, i quesiti posti dal Pubblico Ministero riguardanti il modello organizzativo 231 sono stati formalizzati in corso d’indagine e più precisamente in seguito ad una prima nomina finalizzata alla ricostruzione dal punto di vista economico-finanziario di alcune operazioni irregolari.

In questi casi il PM, grazie al lavoro preliminare svolto dal suo CT, è stato in grado di valutare:

1. la reale fondatezza degli elementi di prova acquisiti,
2. che i delitti commessi potevano configurarsi come reati presupposto,
3. la potenziale sussistenza di un interesse (e dell'eventuale vantaggio) in capo all'ente 

e quindi procede a conferire al medesimo CT un quesito integrativo mirato a valutare l’idoneità del modello a prevenire quella particolare fattispecie di reato oggetto d’indagine.

Il quesito posto dal PM può prevedere lo svolgimento di accertamenti tecnici volti ad analizzare i seguenti aspetti: 

1. l'esistenza, il funzionamento e l'idoneità del modello organizzativo;
2. l'esistenza, la composizione, l'adeguatezza e l'effettivo funzionamento dell’Organismo di Vigilanza;
3. gli accertamenti su eventuali elusioni fraudolente del modello;
4. la qualificazione dell’interesse (beneficio specifico) in capo all'ente;
5. la quantificazione dell'eventuale vantaggio (profitto o prodotto del reato);
6. la definizione del ruolo di "apicale" del soggetto indagato.

Senza entrare nel merito tecnico sulle modalità di svolgimento delle indagini, per il CT è necessario dapprima pianificare e poi adottare alcuni protocolli metodologici al fine di ottimizzare il tempo e le risorse stabilite dal PM.

In particolare nel seguito è riportato, in estrema sintesi, un possibile approccio metodologico che il Consulente Tecnico potrebbe seguire al fine di rispondere al quesito posto dal PM.

Verifiche condotte sul modello 231

Le analisi condotte sul modello sono finalizzate ad accertare:

• la data di entrata in vigore del modello e delle sue versioni successive;
• il/i soggetto/i che si sono occupati della sua introduzione, sviluppo e aggiornamento; 
• la corretta mappatura delle attività sensibili soggette a rischio d’illecito;
• l’adozione di specifici protocolli operativi di prevenzione;
• lo stanziamento di risorse finanziarie idonee ad impedire la commissione dei reati;
• l’esistenza di strutture interne/esterne preposte alla gestione e aggiornamento del modello;
• le evidenze di attività di formazione del personale;
• l’esistenza di codici di deterrenza e di un sistema disciplinare idoneo a sanzionare il mancato rispetto del modello.

Verifiche sull'Organismo di Vigilanza (art. 6, c. 1, lettera b)

Con riferimento all’O.d.V. potrebbero essere svolte le seguenti attività di verifica:

• accertamento sulla composizione dell’O.d.V. (collegiale o monocratico; membri interni/esterni);
• verifica dei requisiti posseduti dai membri dell’O.d.V. (autonomia, indipendenza, professionalità, onorabilità, assenza di conflitti d’interesse);
• analisi sulle attività svolte dall’O.d.V. sulla base della documentazione disponibile.

Verifiche su eventuali elusioni fraudolente del modello (art. 6, c. 1, lett. c)

L’analisi condotta dal CT del PM dovrebbe sempre prevedere approfondimenti sulle eventuali azioni elusive finalizzate ad aggirare il modello; in presenza di condotte fraudolentemente elusive, infatti, l’ente non risponde.

Andrebbe pertanto appurato se la condotta elusiva è stata (Sentenza 4677/13, Corte Cassazione):

• ingannevole;
• falsificatrice;
• obliqua;
• subdola.

Un modello giudicato idoneo, infatti, può essere aggirato solo grazie ad un atto elusivo e ingannevole e non solo in seguito ad un mero abuso di potere (cd “management override”).

In quest’ultimo caso, a parere di chi scrive, il modello non è idoneo per definizione proprio perché in primis esso è chiamato a contrastare proprio tali comportamenti abusivi del management.

Identificazione dell’interesse e vantaggio dell’ente (art. 5, c. 2)

L’identificazione dell’interesse (ex-ante) e dell'eventuale vantaggio (ex-post) dell’ente andrebbe dimostrata grazie a specifiche analisi e verifiche svolte dal CT finalizzare a comprendere quali siano stati gli “obiettivi” del reato (interesse dell’ente o esclusivo interesse proprio?) nonché la natura del vantaggio perseguito (meramente economica, beneficio di posizione sul mercato, concorrenza sleale eccetera).

E' solo in caso di ricordare infatti che l’ente non risponde se i responsabili del reato hanno agito nell'interesse esclusivo proprio o di terzi.

Definizione del ruolo di "apicale" (art. 5 c. 1, lettera a)

Con riguardo al soggetto pianificatore ed esecutore dei reati presupposto, il CT dovrà accertarne:

• l'inquadramento contrattuale e la sua collocazione gerarchica;
• il ruolo e la mansione rivestita all'interno dell'organizzazione aziendale;
• gli eventuali poteri/deleghe/procure attribuitegli dagli organi assembleari e amministrativi;
• le eventuali responsabilità sostanziali (o di fatto) assunte nell'esercizio del proprio ruolo.

L'obiettivo del CT dovrebbe essere mirato a verificare che tali soggetti rivestano funzioni di rappresentanza, di amministrazione o di direzione.

Inoltre, nei casi più complessi e controversi, è opportuno procedere a specifici accertamenti mirati a verificare l'effettiva autonomia finanziaria e funzionale dell'unità organizzativa nel cui ambito il citato soggetto abbia operato come amministratore, gestore, direttore o controllore.


Da ultimo è importante sottolineare come tutte le attività del CT del PM possano essere portate a termine solo grazie al coordinamento e alla partecipazione attiva alle operazioni di Polizia Giudiziaria condotte, generalmente, dai nuclei investigativi della Guardia di Finanza delegati dall'Autorità Giudiziaria.

s.m.

Fallimento, quando è accompagnato da irregolarità di bilancio

Nell'ambito delle procedure concorsuali è ormai prassi consolidata interpellare il forensic accountant quando è necessario effettuare indagini specifiche su ipotesi di irregolarità di bilancio.

In questi casi il curatore fallimentare, previa autorizzazione del Giudice Delegato, può ricorrere alle competenze dello specialista anti-frode, nominandolo ausiliario della curatela, al fine di verificare e ricostruire presunte operazioni illecite commesse dal fallito negli anni precedenti alla dichiarazione di fallimento, tra le quali le irregolarità di bilancio e le appropriazioni indebite.

Le irregolarità commesse dal fallito si esplicitano in una grave lesione dell'interesse dei creditori (e in generale di tutti coloro che traggono benefici dall'attività aziendale), determinata da un comportamento volto ad aggravare volontariamente il dissesto in misura tale da avere un rilievo anche in sede penale.

Pertanto per le curatele fallimentari è assolutamente necessario indagare i sospetti di irregolarità, tra le quali non vanno trascurate quelle di natura contabile mirate a rappresentare una situazione patrimoniale, economica e finanziaria migliore di quella reale.

Il fine del forensic accountant è dimostrare il comportamento illecito del fallito e recuperare fondi aggiuntivi a migliore soddisfazione dei creditori sociali.

Ma in base a quale criterio il forensic accountant predispone le sue verifiche nell'ambito fallimentare?

Senza entrare troppo nel merito, il criterio primario per rilevare le irregolarità di bilancio nelle procedure concorsuali e in particolare nel fallimento, è quello di un confronto tra dati contenuti nei bilanci depositati e/o nelle altre comunicazioni ufficiali, con la situazione che il curatore riscontra in sede fallimentare.

Naturalmente questo confronto, finalizzato a fare emergere incongruenze e falsità, va condotto su ciascuna delle componenti del bilancio, in particolare su quelle che presentano i maggiori sospetti di anomalia o che presentano saldi rilevanti.

Il forensic accountant dovrà ricostruire e quantificare le irregolarità di bilancio riscontrate, collocandole nello scenario aziendale nel quale si sono sviluppate. 

Il quadro sarà tanto più ricco quanto più si potrà accedere alle informazioni, non solo di natura contabile, raccolte presso l'azienda fallita.

Ma di quest'ultimo punto si tornerà a parlarne molto presto.

Riciclaggio elettronico: il cyberlaundering

Sin dal 2005 varie indagini condotte da alcune Procure della Repubblica hanno fatto emergere un fenomeno sempre più diffuso che ha interessato numerosi istituti di credito italiani.

Stiamo parlando del cyberlaundering o "riciclaggio elettronico".

Il fenomeno si manifesta in più forme, la più classica e semplice delle quali prevede che una serie di soggetti residenti in Italia comunichino le proprie coordinate bancarie (codice IBAN) a soggetti operanti all'estero, affinché questi ultimi, tramite disposizioni online, possano bonificare somme di diverso importo su tali conti.

I soggetti italiani, una volta ottenuta la disponibilità della somma di denaro sul proprio conto, provvedono a prelevarla in contanti servendosi degli sportelli bancomat oppure a predisporre pagamenti a fronte di transazioni lecite (ad esempio per acquisti immobiliari).

Ma l'operazione appena descritta è solo una parte del progetto illecito!
E' solo la tranche finale che prelude al riciclaggio.

Ma le somme bonificate dai soggetti esteri (spesso residenti nei paesi dell'Est Europa) da dove traggono origine?

Le somme pervengono ai soggetti operanti all'estero attraverso trasferimenti Western Union e/o Money Gram (solo per fare un esempio) disposti dagli stessi soggetti italiani di cui sopra o da loro complici, prestanome o fiduciari.

Il denaro oggetto di trasferimento con la metodologia appena descritta, deriva quasi sempre da attività illecita effettuata sul territorio nazionale, la quale, per sua stessa natura, genera una grossa quantità di contante (spaccio di sostante stupefacenti, prostituzione, pizzo, tangenti eccetera) mentre il trasferimento dai conti stranieri ai conti italiani sarà giustificato con un'operazione commerciale apparentemente lecita ma inesistente (o parzialmente inesistente).

In letteratura i titolari dei conti correnti italiani, sono denominati genericamente "financial manager" poiché coincidono con coloro che pianificano e gestiscono l'intera operazione, mentre il ricorso a strutture di trasferimento internazionale di contanti si rende necessario perché il sistema di home-banking italiano non consente bonifici verso l’estero se non a seguito di specifici e routinari controlli che farebbero venire allo scoperto la truffa.

Quanto agli accertamenti idonei ad identificare le persone operanti all'estero, dall'esperienza investigativa maturata dalla Polizia Giudiziaria di Milano, si è rilevato molto utile l'analisi del traffico internet e degli apparati di comunicazione e trasmissione di file e/o di informazioni.

Ma anche le banche possono mitigare questo specifico rischio di frode attraverso lo sviluppo di specifici sistemi informatici e procedure di comportamento più moderne e aggiornate.

Quanto alla condotta posta in essere dai beneficiari italiani dei bonifici online, essa deve essere qualificata ai sensi dell’art. 648-bis codice penale, essendo idonea a porre in essere un'attività di riciclaggio di somme di denaro provento di reato.
Ovvero ai sensi dell’art. 648 c.p. (ricettazione) laddove, come verificatosi in alcuni casi osservati, non sia avvenuto il successivo trasferimento sui conti correnti italiani dopo l'ottenimento all'estero della somma di denaro.

Il forensic accountant nel processo di revisione contabile

Capita sempre più spesso che il forensic accountant sia chiamato ad operare all'interno dei team di revisione contabile.

Lo prevede il principio di revisione n. 240, che fornisce anche un elenco indicativo di procedure che il revisore contabile è chiamato ad effettuare in collaborazione con il "forensic accounting specialist".

Infatti il revisore può, a sua insindacabile valutazione, decidere di mitigare il rischio di frode aziendale e conseguentemente il proprio rischio di revisione, chiamando in aiuto un esperto che possa assisterlo nel decifrare determinate operazioni.

Per il revisore il fine ultimo è sempre il medesimo, esprimere un giudizio professionale sul bilancio aziendale, verificando se questo sia esente da errori significativi causati da una falsa informativa economico-finanziaria o da appropriazioni indebite.

L’elenco seguente rappresenta solo un esempio indicativo, vista la vastità delle casistiche e delle circostanze osservabili, delle procedure che un fraud auditor potrebbe mettere in pratica al fine di verificare i dubbi del revisore dei conti con particolare riferimento alle operazioni effettuate con parti correlate:

• nel caso in cui altri revisori indipendenti siano incaricati della revisione del bilancio di una o più imprese controllate, divisioni o filiali è necessaria una discussione comune sull'ampiezza delle verifiche da svolgere in risposta ai rischi di errori significativi dovuti a frodi che derivino da operazioni o da rapporti fra tali entità (tecnica del "brainstorming");
• analisi delle autorizzazioni e dell’evoluzione dei prestiti erogati alle parti correlate;
• comprensione delle condizioni in base alle quali sono stati erogati i finanziamento a società collegate, controllate o correlate (tassi applicati, durata, garanzie, eccetera);
• verifica dell’anagrafica fornitori e clienti, al fine di individuare eventuali società correlate aventi sede presso i centri finanziari offshore e analizzare la natura del rapporti in essere;
• compiere apposite verifiche di corporate intelligence con riferimento agli amministratori al fine di individuare parti correlate non dichiarate (o "occulte");
• comprendere se le transazioni con le società controllate o collegate sono avvenute a condizioni di mercato, al fine di individuare eventuali casi di “transfert price”;
• svolgimento di ricerche di informazioni su fonti pubbliche e di visure camerali sulle controparti sospettate di essere correlate non ufficiali.

Operazioni con parti correlate... occulte

Tra le competenze richieste ad un Fraud Risk Manager deve essere inclusa la capacità di condurre accertamenti su quell'ampia categoria di transazioni economico-finanziarie che si identificano con l'espressione di "operazioni con parti correlate".

In generale sono "correlate" quelle controparti verso le quali sussistono legami di natura partecipativa, quali le società controllate, controllanti, collegate o soggette ad un comune controllo o legate da accordi contrattuali di jont-venture. Inoltre si devono comprendere nei soggetti correlati anche i dirigenti operanti in azienda aventi responsabilità strategiche o loro stretti famigliari ovvero le società nelle quali essi esercitano un controllo o un'influenza notevole.

Si tratta quindi di contraenti non pienamente indipendenti perché riconducibili a soggetti, siano essi giuridici o fisici, le cui decisioni economico-finanziarie potrebbero essere influenzate da un conflitto d'interesse.

E' evidente pertanto come le transazioni economiche intercorrenti tra soggetti correlati assumino un elevato profilo di rischio identificabile con una potenziale erosione illegittima di ricchezza di una delle parti, derivante, ad esempio, dall'applicazione di condizioni economiche sfavorevoli e penalizzanti.

Almeno in prima istanza non riveste particolare importanza appurare quali siano i reali obiettivi ricercati dalle parti che applicano condizioni fuori-mercato, con il risultato, ad esempio, di spostare utili tra società appartenenti ad uno stesso gruppo o occultare perdite o per appropriarsi di beni e di liquidità a condizioni privilegiate o ancora a fini di evasione fiscale.
Ciò che è importante impedire con immediata priorità è il danno prodotto agli stakeholder del contraente danneggiato (investitori, dipendenti, finanziatori e l'intera collettività nel caso che tali operazioni implichino minori entrate tributarie).

E se le operazioni con parti correlate rappresentano un rischio aziendale, che classificherei tra i rischi operativi, allora come tale andrá trattato attraverso l'applicazione di procedure di prevenzione e mitigazione, mettendo in campo apparati e strutture di controllo appositamente preposte.

Sull'argomento la norma civilistica all'articolo 2391-bis prevede una particolare disciplina per le sole "società che fanno ricorso al mercato del capitale di rischio" (quindi per le aziende quotate o con azioni diffuse fra il pubblico in misura rilevante) disponendo che l'organo amministrativo deve adottare regole che assicurino trasparenza, correttezza formale e sostanziale ed adeguata informativa al pubblico, al mercato e all'Authority competente (la CONSOB), con riferimento alle operazioni intercorse con parti correlate.

Sull'osservanza delle obbligazioni attribuite agli organi amministrativi è chiamato a vigilare l'organismo di controllo interno. In particolare, per le società quotate è previsto un "Comitato" composto da amministratori indipendenti, senza escludere, ben inteso, il dovere di vigilanza e controllo ricoperto dal collegio sindacale e dalla società di revisione entro i rispettivi ruoli e limiti di competenza.

Di per sé una transazione con una parte correlata se disposta in ossequio alle regole dettate dagli artt. 2391-bis e 2427, primo comma, numero 22-bis del Codice Civile nonché dagli artt. 113-ter, 114, 115 e 154-ter del Testo Unico delle disposizioni in materia di intermediazione finanziaria (o TUF) e dai Regolamenti CONSOB n. 17221 e n. 17389 emanati nel 2010, non è materia di competenza del Fraud Risk Manager in quanto non rientrante nel campo della patologia aziendale.

O meglio, gli accertamenti che uno specialista chiamato ad assistere un ipotetico "Comitato per le operazioni con parti correlate" si limiterebbero alla verifica degli adempimenti richiesti dalla norma giuridica ovvero nel contribuire a migliorare la procedura interna di controllo prevista dai Regolamenti CONSOB.
Procedura, quest'ultima, che si fonda sull'applicazione di indicatori dimensionali patrimoniali ed economici atti a definire se una determinata transazione debba essere compresa tra quelle di "maggiore rilevanza" (e quindi da assoggettare al parere vincolante del Comitato o, in talune circostanze, alla competenza assembleare) ovvero tra quelle di "minore rilevanza" (e quindi da sottoporre al parere non vincolante del Comitato).

Sin qui si è esposto, seppur in sintesi, il perimetro giuridico e il relativo rischio aziendale caratteristico, ma come i lettori sanno il blog si occupa di patologie aziendali e quindi delle devianze consapevoli e volontarie rispetto alla norma, finalizzate ad attribuire un vantaggio immeritato e illegittimo ad una parte ai danni dell'altra.

I fenomeni fraudolenti determinati da operazioni con parti correlate che ho avuto modo di analizzare professionalmente, sono quasi tutti riconducibili a transazioni concluse a condizioni fuori-mercato con terzi soggetti dichiaratamente o presuntivamente indipendenti, con i quali, invece, sussistevano "correlazioni occulte" cioè celate agli organismi di controllo e di amministrazione.
E ciò anche con specifico riferimento ad aziende quotate e pertanto sottoposte alla disciplina stringente dettata dalle norme citate sopra.

Non è faticoso, infatti, imbattersi in articoli di cronaca giornalistica che si occupano di casi di aziende che incorrono in procedure fallimentari anche di grosse dimensioni a causa di operazioni disastrose pianificate a vantaggio di soggetti giuridici o fisici la cui correlazione non era stata dichiarata o non era emersa in seguito alle verifiche di routine disposte dagli organismi di controllo.

In questi contesti aziendali è stata accertata l'assenza di esperti anti-frode interni, indipendenti e autonomi che fungessero da vero e proprio "braccio operativo" (eventualmente in collaborazione con consulenti esterni) del Comitato previsto dai Regolamenti CONSOB o degli altri organi di controllo esterno (collegio sindacale, Authority, società di revisione, Fisco).

Senza entrare troppo nel merito dei possibili accertamenti che un competente Fraud Risk Manager saprebbe effettuare per individuare nell'anagrafica societaria le controparti la cui correlazione non è palesata, potrei citate, a solo titolo esemplificativo, le tecniche di "corporate intelligence" basate sull'acquisizione, elaborazione e analisi di informazioni di fonte esterna (banche dati indipendenti, camere di commercio, catasto, registri pubblici eccetera) e di fonte interna (business intelligence, contabilità analitica eccetera).

Altre procedure di fraud & internal audit (valutazioni delle transazioni commerciali con tecniche comparative a "valori normali" eccetera) potrebbero impedire il finalizzarsi di operazioni in assenza di utilità economica, per poi concentrarsi nell'approfondire la vera natura della parte contraente alla ricerca di elementi di correlazione.

Infine solo un veloce accenno alle transazioni con soggetti residenti nei paradisi fiscali o con entità controllate da società off-shore.
A mio avviso, questo tipo di operazioni deve essere sempre assoggettato dal Fraud Risk Manager ad accertamento.

Accertamento che non dovrà avere carattere routinario o standardizzato ma che dovrà assumere forme, metodi e caratteristiche continuativamente diversificate a seconda della rilevanza economica dell'operazione, della tipologia delle parti contraenti o della dimensione o importanza strategica dell'operazione.

Convegno su frodi e procedure concorsuali

Convegno

"L'individuazione delle frodi nell'ambito delle procedure concorsuali: 

temi critici sotto il profilo investigativo"

Organizzato da Politeia - Centro per la ricerca e la formazione in politica ed etica in collaborazione con il Tribunale Ordinario di Milano, Sezione Seconda Civile (Fallimento e Procedure concorsuali, Revocatorie fallimentari)

Giovedì 7 giugno 2012 

Orario: dalle 14.30 alle 18.30 

Salone Valente, Via Carlo Freguglia 14, 20122 Milano

Ingresso gratuito

Conoscere i profili comportamentali e le strategie di occultamento di frodi ed illeciti adottate da chi perpetra reati connessi al fallimento può consentire non solo di velocizzare e rendere maggiormente efficaci le metodologie di indagine, ma anche di migliorare la comprensione del fenomeno con indubbi benefici nell'azione di contrasto al medesimo nell'ambito delle procedure concorsuali. 

A fronte della crescente complessità e diffusione del fenomeno, come pure del livello di sofisticazione, anche tecnologica, assunto dalle attività economiche esercitate dalle imprese è ormai indispensabile approcciare le menzionate fattispecie patologiche in forma interdisciplinare, ricorrendo al sapere di discipline quali criminologia, diritto, economia ed informatica; in tal modo sarà finalmente possibile favorire lo sviluppo di una cultura ove le crisi di impresa rappresentino solo la naturale conseguenza del ciclo di vita imprenditoriale e non un terreno fertile per la realizzazione di frodi. 

In virtù di quanto sopra, il convegno si propone di affrontare le principali problematiche attinenti l'indagine dei comportamenti che configurano reati fallimentari secondo tale innovativo modello di approccio. 

Introduzione:

❖ Dott. Roberto Fontana (Tribunale di Milano, Seconda Sezione Civile)
❖ Dott. Emilio D'Orazio (Direttore Centro Studi - Politeia)

Relatori:

❖ Prof. Nicola Pecchiari, Università L. Bocconi
    Articolazione e complessità delle frodi aziendali nell'ambito delle 
    procedure concorsuali
❖ Prof. Giuseppe Pogliani, Università L. Bocconi
    Il ruolo delle metodologie di computer forensic nella investigazione delle frodi
❖ Prof. Avv. Francesco Mucciarelli, Università L. Bocconi
    La prova dei reati di bancarotta
❖ Dott. Luigi Orsi (Sostituto Procuratore presso il Tribunale di Milano)
    Riflessioni in tema di indagine penale 

Moderatore:

❖ Moderatore: Avv. Alessandro Corrado

L’evento è stato accreditato ai fini della Formazione continua degli Avvocati e dei Dottori Commercialisti ed Esperti Contabili.

Per motivi organizzativi, si prega di confermare la propria presenza a: convegnofrodi.politeia@gmail.com (indicando nel testo della mail: nome e cognome, codice fiscale e ordine di appartenenza, specificando se di Milano o di altra città). 

[Il convegno è rivolto a Curatori e Commissari giudiziali. Le iscrizioni saranno accettate nel limite di capienza della sala]

Prova o indizio?

Non so dire in quante occasioni mi sono ritrovato a ragionare se un certo documento fosse da considerare prova o soltanto indizio di un fatto illecito.

Nelle stesse medesime occasioni, tuttavia, sono arrivato a ritenere questo esercizio mentale totalmente superfluo! 

Il forensic accountant, infatti, commetterebbe un grossolano errore se si mettesse a giudicare se una certa scrittura contabile piuttosto che un'operazione "back to back" rappresenti o meno una prova o sia da classificare come semplice indizio.

Il forensic accountant è tenuto a descrivere un determinato fatto attraverso ricostruzioni meramente tecniche e oggettive e si dovrebbe astenere dall'entrare nel merito delle presunte responsabilità penali o formulare ipotesi sui reati commessi e sulle relative pene e sanzioni ovvero, ancora, dovrebbe evitare ogni altra valutazione relativa alla natura probatoria o indiziaria della documentazione analizzata.

Queste considerazioni non sono di sua competenza.
La valutazione della prova e degli indizi è delegata, dal nostro ordinamento giuridico, esclusivamente al Giudice. Senza eccezioni!

Sono due le fonti normative che stabiliscono tale principio: l'art. 192 del Codice di Procedura Penale e l'art. 2729 del Codice Civile.

In particolare, l'art. 192 C.p.p., dal titolo "Valutazione della prova", afferma ai commi 1 e 2 che:

"1. Il giudice valuta la prova dando conto nella motivazione dei risultati acquisiti e dei criteri adottati 

2. L’esistenza di un fatto non può essere desunta da indizi a meno che questi siano gravi, precisi e concordanti". 

Mentre l'art. 2729 c.c., dal titolo "Presunzioni semplici" al comma 1 stabilisce che: "Le presunzioni non stabilite dalla legge sono lasciate alla prudenza del giudice, il quale non deve ammettere che presunzioni gravi, precise e concordanti".

La norma è chiara!
La "prova" è valutata, motivata e giustificata esclusivamente dal Giudice.

Mentre l'"indizio" è assimilabile a "prova" se, e solo se, è "grave, preciso e concordate" (e qui si perdono le disquisizioni teorico-dottrinali sul significato giuridico da attribuire ai termini "grave", "preciso" e "concordante", dalle quali fuggo volentieri...).

Inoltre per la legge la "presunzione" non esiste come dato oggettivo, ma solo come conseguenza di una valutazione presa dal Giudice, il quale in scienza e coscienza stabilisce che l'indizio a lui sottoposto debba essere accolto in quanto giustifica in modo pieno e preciso una relazione logica e consequenziale tra gli eventi accaduti.

All'investigatore contabile non compete tale valutazione!
Anzi incorrerebbe in un grave difetto giuridico e professionale se si attribuisse un esercizio non richiesto e per di più espressamente proibito dal nostro ordinamento.

Piuttosto il forensic accountant si dovrebbe chiedere se il suo lavoro ha prodotto un risultato completo ed esaustivo rispetto agli elementi disponibili.

La domanda giusta da porsi non è, infatti, se e come un certo documento sia idoneo ad incastrare il responsabile della frode ma se e come si possa descrivere una certa operazione finanziaria in modo maggiormente attendibile, preciso, concordante e convincente.

Il processo di ricostruzione documentale di un fatto presumibilmente illecito (ancora una volta, è il Giudice a valutare se un comportamento è illecito o meno) dovrebbe non dare adito ad equivoci, interpretazioni, verosimiglianze e genericità.

Il forensic accountant in questo caso faciliterà il lavoro del Giudice.

s.m.