D.Lgs. 231/2001 e attori del controllo: recenti criticità e nuove prospettive.

Mentre alcuni autori sostengono che l'OdV non dovrebbe essere identificato con un organo societario, le Linee Guida delle Associazioni di categoria abilitate non escludono che alcuni organi o funzioni aziendali già esistenti possano ricoprire il ruolo dell'organismo di vigilanza, considerato il fatto che possono eventualmente avvalersi di consulenze esterne in ambiti che necessitano di particolari tecnicismi.
D'altra parte, per gli enti di piccole dimensioni, come già ricordato, è la stessa legge a prevedere che i compiti dell'OdV possano essere svolti dall'organo dirigente.

Con ciò si evita di istituire ulteriori unità organizzative che, indipendentemente da considerazioni economiche, rischiano di generare sovrapposizioni o eccessive parcellizzazioni di attività.
Preliminarmente e come già anticipato in precedenza, appare da escludere, relativamente alla prevenzione di reati di omicidio colposo e lesioni personali colpose commessi in violazione delle norme in materia di salute e sicurezza sul lavoro, la conferibilità del ruolo di OdV al responsabile del servizio di prevenzione e protezione di cui al D.Lgs. 81/200893: tale soggetto svolge un ruolo operativo ed è quasi sempre inserito all'interno di precise gerarchie aziendali dalle quali dipende o, quando esterno, vincolato da rapporti contrattuali con esponenti delle predette gerarchie.
Diversa è, invece, la valutazione relativa al comitato controllo e rischi e alla funzione di internal audit94, istituiti soprattutto negli enti di dimensioni medio-grandi con il compito di vigilare sul complessivo sistema di controllo interno e di gestione dei rischi, del quale il modello organizzativo è parte.

Le Linee Guida ritengono che il ruolo di OdV possa essere conferito al comitato controllo e rischi (comitato di controllo interno), in quanto presenta una serie di caratteristiche che lo rendono idoneo. In primo luogo, secondo le indicazioni del Codice di Autodisciplina per le società quotate, deve essere composto da amministratori non esecutivi, in maggioranza indipendenti, e dunque è dotato di un certo grado di autonomia e indipendenza. In secondo luogo, presiedendo al sistema di controlli interni dell'impresa, svolge un ruolo in parte assimilabile a quello richiesto all'OdV.

Peraltro, in dottrina si evidenzia che un'articolazione societaria che prevedesse l'attribuzione della generalità dei controlli sul SCI ad una funzione (internal audit) e la collocazione di controlli specifici sull'obiettivo di conformità ad un differente organismo (comitato audit) richiederebbe anche una fase di coordinamento tra i due organi e potrebbe essere ammissibile soltanto nel caso di realtà societarie di significative dimensioni, in cui il vertice reputi opportuno segmentare l'attività di controllo95 .

Sempre secondo il dettato delle Linee Guida, le società sprovviste del comitato controllo e rischi potrebbero, in alternativa, decidere di attribuire il ruolo dell'OdV alla funzione di internal audit, che oltre ad effettuare indagini di carattere ispettivo, verifica l'esistenza e il buon funzionamento dei controlli atti ad evitare il rischio di infrazione alle leggi in generale, tra cui, ad esempio, quelle sulla sicurezza, sulla protezione ambientale ed in materia di privacy. Va attentamente verificata, però, l'effettiva indipendenza della funzione poiché normalmente è collocata alle dirette dipendenze del vertice aziendale.