Articolo a cura di: Redazione - Studio Legale Calvello

L’adozione del Modello 231 richiede un percorso organizzativo che parte dall’analisi dei rischi aziendali e arriva alla predisposizione di procedure, controlli e responsabilità concretamente applicabili. Per un’impresa che intende dotarsi di un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, non è sufficiente approvare un documento: occorre individuare le attività esposte al rischio di commissione dei reati presupposto, definire misure preventive adeguate e organizzare un sistema capace di funzionare nella gestione quotidiana.

La decisione può derivare dalla volontà degli amministratori di prevenire responsabilità dell’ente, da richieste di clienti e committenti, dalla partecipazione a procedure di qualificazione o dall’esigenza di rafforzare controlli interni risultati insufficienti. L’adozione del Modello 231 non costituisce un obbligo generalizzato per tutte le imprese, ma la sua mancanza può assumere rilievo quando si verifica un reato dal quale possa derivare la responsabilità dell’ente. Per questo, prima di avviare il progetto, è opportuno valutare l’organizzazione esistente, l’esposizione ai rischi e le attività professionali necessarie per predisporre un sistema effettivamente attuabile.

Quando un’azienda decide di adottare il Modello 231 e quali verifiche deve effettuare

Il primo passaggio consiste nel comprendere perché l’impresa intenda adottare il Modello 231 e quali risultati organizzativi debba perseguire. Il D.Lgs. 231/2001 disciplina la responsabilità amministrativa degli enti per determinati reati commessi nel loro interesse o a loro vantaggio da soggetti che rivestono funzioni di rappresentanza, amministrazione o direzione, oppure da persone sottoposte alla direzione o vigilanza di tali soggetti. La responsabilità dell’ente è distinta da quella della persona fisica e richiede la verifica dei presupposti previsti dalla normativa.

Per l’amministratore che deve decidere se avviare l’implementazione del Modello 231, la questione riguarda anzitutto l’esposizione concreta dell’azienda. Una società manifatturiera può presentare rischi collegati alla sicurezza sul lavoro, alla gestione ambientale, ai rapporti commerciali e agli adempimenti fiscali; un’impresa di servizi può avere processi sensibili differenti, legati alle caratteristiche dell’attività, ai rapporti con la pubblica amministrazione o alla gestione delle risorse finanziarie. Il Modello deve essere costruito sui processi effettivi dell’impresa e sui reati presupposto pertinenti, senza riprodurre indiscriminatamente procedure pensate per organizzazioni diverse.

La valutazione iniziale richiede di esaminare l’assetto societario, la distribuzione dei poteri decisionali, il sistema delle deleghe e delle procure, i rapporti con dipendenti e collaboratori e le modalità attraverso cui vengono autorizzate e controllate le operazioni aziendali. Occorre considerare anche le procedure già adottate, le certificazioni, i sistemi di gestione e gli eventuali controlli svolti dalle funzioni interne. Questa ricognizione permette di individuare ciò che può essere utilizzato nel progetto 231 e ciò che necessita di integrazione.

L’esigenza di adottare il Modello può emergere anche durante una due diligence, in occasione di una riorganizzazione societaria oppure quando un importante committente richiede ai propri fornitori specifiche garanzie organizzative. In tali situazioni è necessario distinguere gli obblighi derivanti dalla legge dai requisiti contrattuali o di qualificazione richiesti dalla controparte. La richiesta di un cliente non rende automaticamente obbligatorio il Modello per tutte le imprese, ma può incidere concretamente sulla possibilità di instaurare o mantenere determinati rapporti commerciali.

Un’attenzione particolare è necessaria quando la decisione segue la scoperta di irregolarità interne, una segnalazione o l’avvio di accertamenti riguardanti possibili reati aziendali. In questi casi l’adozione successiva del Modello non produce automaticamente gli stessi effetti di un sistema già adottato ed efficacemente attuato prima della commissione del fatto. Le eventuali conseguenze sul trattamento sanzionatorio devono essere valutate secondo le specifiche disposizioni del D.Lgs. 231/2001 e lo stato del procedimento.

Quando l’impresa ha chiarito le proprie esigenze, può definire il perimetro dell’intervento, le funzioni aziendali da coinvolgere e le risorse necessarie. È in questa fase che l’assistenza di un professionista esperto in responsabilità amministrativa degli enti può aiutare a distinguere i rischi giuridicamente rilevanti dalle generiche criticità gestionali, evitando che il progetto si riduca alla semplice acquisizione di un modello documentale.

Come si svolge l’adozione del Modello 231: mappatura dei rischi, procedure e approvazione

Una volta definito il perimetro dell’intervento, la predisposizione del Modello organizzativo 231 prende avvio dall’analisi dei processi aziendali e dall’individuazione delle attività nel cui ambito possono essere commessi i reati presupposto. Questa attività, comunemente definita risk assessment 231, richiede l’esame della documentazione societaria, dei flussi operativi e dei controlli esistenti, accompagnato dal confronto con gli amministratori e i responsabili delle funzioni interessate.

La mappatura non consiste nel compilare un elenco astratto di reati. Occorre verificare come vengono concretamente assunte le decisioni, chi dispone dei poteri autorizzativi, quali soggetti possono intervenire nelle operazioni sensibili e dove si concentrano eventuali carenze di controllo. Per esempio, nella gestione degli acquisti e dei fornitori devono essere esaminati i criteri di selezione, le autorizzazioni, la verifica delle prestazioni e i pagamenti. Nei processi relativi alla sicurezza sul lavoro occorre considerare l’organizzazione delle responsabilità, le misure preventive e le modalità di controllo sulla loro applicazione.

Il risultato dell’analisi deve consentire di individuare i rischi pertinenti e valutare se le misure esistenti siano adeguate oppure debbano essere modificate. Attraverso una gap analysis vengono rilevate le carenze rispetto al sistema preventivo che l’impresa intende costruire. Da questa valutazione deriva il piano degli interventi organizzativi: introduzione di nuovi controlli, revisione delle procedure, chiarimento delle responsabilità, rafforzamento della tracciabilità delle operazioni e definizione dei flussi informativi.

La redazione del Modello comprende normalmente una parte generale, dedicata al quadro organizzativo, al funzionamento del sistema 231, all’Organismo di Vigilanza, alla formazione e al sistema disciplinare, e una parte speciale che disciplina le attività sensibili e i presidi di prevenzione rispetto ai rischi individuati. La struttura documentale può variare in relazione alla complessità dell’impresa, purché il contenuto risponda ai requisiti normativi e alle esigenze effettive dell’organizzazione.

Un passaggio operativo riguarda la predisposizione dei protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire. Le procedure devono stabilire responsabilità, autorizzazioni, verifiche e modalità di conservazione delle evidenze. Devono inoltre essere definite modalità di gestione delle risorse finanziarie idonee a prevenire la commissione dei reati. Un controllo previsto soltanto sulla carta, ma incompatibile con il funzionamento reale dell’azienda, rischia di rimanere inapplicato e di compromettere l’effettività del sistema.

Nel percorso rientrano anche la predisposizione o l’adeguamento del codice etico e del sistema disciplinare. Il primo definisce i principi di comportamento adottati dall’impresa; il secondo deve prevedere misure idonee a sanzionare il mancato rispetto delle prescrizioni del Modello, tenendo conto delle diverse categorie di destinatari e della disciplina applicabile. Occorre poi coordinare il sistema 231 con le procedure di segnalazione interna previste dalla normativa sul whistleblowing, quando applicabile. Per gli aspetti relativi ai canali e alla gestione delle segnalazioni è possibile consultare la nostra guida al whistleblowing aziendale.

Completata la predisposizione, il Modello viene sottoposto all’organo dirigente competente per l’adozione. Nelle società dotate di consiglio di amministrazione, la decisione viene normalmente formalizzata mediante una deliberazione; nelle società amministrate da un amministratore unico, attraverso un apposito atto dell’amministratore. L’approvazione deve riguardare un sistema organizzativo definito, accompagnato dalle procedure necessarie alla sua applicazione.

Il percorso comprende anche l’istituzione dell’Organismo di Vigilanza (OdV), al quale devono essere attribuiti autonomi poteri di iniziativa e controllo secondo quanto previsto dall’art. 6 del D.Lgs. 231/2001. La scelta della composizione, monocratica o collegiale, deve considerare le caratteristiche dell’ente, le esigenze di autonomia e continuità dell’attività di vigilanza e le disposizioni applicabili, comprese quelle specifiche previste per gli enti di piccole dimensioni. Devono essere organizzati i flussi informativi verso l’OdV e le modalità attraverso cui l’organismo può verificare il funzionamento e l’osservanza del Modello.

L’approvazione rappresenta quindi un passaggio del progetto, non il suo completamento operativo. Il Modello deve essere comunicato ai destinatari, accompagnato da una formazione proporzionata alle responsabilità e tradotto in controlli concretamente eseguibili. La sua possibile rilevanza ai fini dell’esonero dalla responsabilità dell’ente dipende dai presupposti stabiliti dalla legge, tra i quali assumono rilievo l’idoneità preventiva e l’efficace attuazione del sistema, da valutare anche in relazione alla posizione dell’autore del reato.

Quali controlli e attività sono necessari dopo l’adozione del Modello 231

Una volta approvato il Modello 231, l’impresa deve assicurare che le procedure previste vengano effettivamente applicate. L’art. 7 del D.Lgs. 231/2001 richiede, ai fini dell’efficace attuazione del Modello, una verifica periodica e l’eventuale modifica dello stesso quando vengono scoperte violazioni significative delle prescrizioni oppure intervengono mutamenti nell’organizzazione o nell’attività. Il sistema disciplinare deve essere idoneo a sanzionare il mancato rispetto delle misure indicate. La semplice approvazione del documento non dimostra, da sola, che l’azienda abbia predisposto e attuato un sistema di prevenzione adeguato.

Per rendere operativo il Modello occorre anzitutto individuare i responsabili dell’esecuzione dei controlli, stabilire come documentare le verifiche e organizzare la circolazione delle informazioni tra le funzioni aziendali. Le procedure devono essere conosciute dai destinatari e applicate nei processi ai quali si riferiscono. Se, ad esempio, il Modello prevede un’autorizzazione preventiva per determinate operazioni finanziarie, l’impresa deve assicurare che il controllo sia concretamente eseguito e che ne rimanga evidenza verificabile. Analogamente, quando sono previsti controlli sui fornitori o sulle attività commerciali, devono essere definiti i soggetti incaricati, i criteri di verifica e le modalità di gestione delle anomalie.

Un’attività specifica riguarda la formazione degli amministratori, dei dirigenti e dei dipendenti. Non è sufficiente distribuire il Modello o richiederne una generica presa visione. La formazione deve essere proporzionata alle funzioni svolte e ai rischi individuati, affinché ciascun destinatario comprenda quali comportamenti siano richiesti, quali operazioni necessitino di autorizzazione e come segnalare eventuali violazioni. Per le funzioni maggiormente esposte può essere necessario un approfondimento sui protocolli applicabili, mentre per il personale non coinvolto nei processi sensibili può risultare adeguata una formazione più generale, purché coerente con l’organizzazione aziendale.

L’Organismo di Vigilanza deve poter esercitare i compiti di vigilanza sul funzionamento e sull’osservanza del Modello e curarne l’aggiornamento secondo le attribuzioni previste dalla normativa. A questo scopo è necessario predisporre flussi informativi che consentano all’OdV di ricevere le comunicazioni rilevanti, conoscere le criticità emerse e svolgere le proprie verifiche. La presenza dell’Organismo di Vigilanza non sostituisce le responsabilità operative degli amministratori e delle funzioni aziendali: il sistema deve prevedere controlli ordinari eseguiti dai soggetti competenti e un’attività di vigilanza distinta, coerente con i requisiti di autonomia richiesti.

Nel coordinamento dei controlli rientrano anche le segnalazioni di possibili violazioni. Le disposizioni in materia di whistleblowing devono essere considerate nella configurazione del sistema 231, tenendo conto dei requisiti previsti dal D.Lgs. 24/2023 e della necessità di proteggere la riservatezza delle persone coinvolte. Occorre distinguere le competenze del gestore delle segnalazioni da quelle dell’OdV e stabilire quali informazioni possano essere trasmesse a quest’ultimo nel rispetto delle garanzie applicabili. Quando viene ricevuta una segnalazione, l’azienda deve seguire una procedura coerente con la normativa e con il proprio assetto organizzativo. Sul punto abbiamo approfondito cosa fare dopo aver ricevuto una segnalazione whistleblowing.

L’effettiva attuazione richiede infine un sistema di verifiche documentate. L’impresa deve poter ricostruire le attività di formazione, i controlli eseguiti, le anomalie riscontrate e gli interventi correttivi adottati. Le verifiche periodiche devono considerare anche le modifiche organizzative, l’introduzione di nuovi processi e le variazioni normative che incidono sui reati presupposto. Un Modello inizialmente adeguato può perdere efficacia se l’organizzazione cambia senza che vengano riesaminati i rischi e aggiornati i relativi presidi. Per questo il progetto di adozione deve comprendere fin dall’inizio modalità sostenibili di monitoraggio, revisione e conservazione delle evidenze, evitando che l’attuazione dipenda esclusivamente dall’iniziativa occasionale dei singoli responsabili.

Esempio pratico: adozione del Modello 231 in una società con procedure aziendali già esistenti

Si consideri, a titolo esemplificativo, una società manifatturiera di medie dimensioni che decide di adottare il Modello 231 dopo aver ricevuto richieste di documentazione organizzativa da parte di alcuni importanti committenti. L’impresa dispone già di procedure per gli acquisti, la sicurezza sul lavoro e la gestione amministrativa, ma non ha mai effettuato una mappatura sistematica dei rischi rilevanti ai sensi del D.Lgs. 231/2001. Gli amministratori intendono utilizzare quanto già esiste, senza introdurre controlli duplicati o incompatibili con l’attività produttiva.

Il percorso di adozione prende avvio dall’esame dell’organizzazione e dal confronto con i responsabili delle funzioni aziendali. La valutazione individua le attività sensibili, verifica le procedure esistenti e rileva le eventuali carenze nella distribuzione delle responsabilità, nelle autorizzazioni e nella documentazione dei controlli. L’aspetto che richiede maggiore attenzione è il coordinamento tra i presidi già operativi e i protocolli necessari per prevenire i rischi di reato pertinenti. Su questa base vengono predisposti il Modello, le procedure integrative e il sistema disciplinare, definendo anche la composizione dell’Organismo di Vigilanza e i flussi informativi.

Dopo l’approvazione da parte dell’organo amministrativo, l’azienda organizza la comunicazione interna, la formazione dei destinatari e le prime verifiche sull’applicazione delle procedure. L’esempio mostra come l’adozione del Modello 231 debba partire dalla struttura effettiva dell’impresa e tradursi in responsabilità operative riconoscibili, controlli eseguibili e documentazione verificabile, anziché nella semplice introduzione di un nuovo insieme di regole formali.

Domande frequenti sull’adozione del Modello 231

1. Una società può adottare il Modello 231 senza ricorrere a un consulente esterno?

La normativa non impone in via generale di affidare la predisposizione del Modello 231 a un professionista esterno. L’azienda deve però disporre delle competenze necessarie per individuare i reati presupposto pertinenti, valutare i rischi, predisporre protocolli adeguati e organizzare i controlli. Il ricorso a un avvocato esperto in D.Lgs. 231/2001 può essere particolarmente opportuno quando l’impresa presenta processi complessi, più sedi operative o un’esposizione rilevante a rischi di responsabilità dell’ente.

2. Quanto tempo occorre per completare l’adozione del Modello 231?

Non esiste un termine uniforme. La durata dipende dalle dimensioni dell’impresa, dal numero di attività sensibili, dalla documentazione disponibile e dalle modifiche organizzative necessarie. Una società con procedure già strutturate può richiedere un intervento diverso rispetto a un’impresa che deve definire per la prima volta deleghe, controlli e protocolli. I tempi devono comprendere anche l’approvazione del Modello e l’organizzazione delle attività necessarie alla sua concreta applicazione.

3. È possibile utilizzare un Modello 231 già predisposto per un’altra azienda?

Un documento utilizzato da un’altra impresa può costituire un riferimento metodologico, ma non sostituisce la valutazione dei rischi specifici. L’art. 6 del D.Lgs. 231/2001 richiede modelli idonei a prevenire reati della specie di quello verificatosi. Un Modello generico, privo di collegamento con i processi effettivi, le responsabilità e i controlli dell’azienda, può risultare inadeguato rispetto alla funzione preventiva richiesta dalla normativa.

4. Il Modello 231 deve essere adottato prima di nominare l’Organismo di Vigilanza?

La predisposizione del Modello e l’organizzazione dell’OdV devono essere coordinate. L’organo dirigente adotta il Modello e, secondo il sistema previsto dall’art. 6 del D.Lgs. 231/2001, affida il compito di vigilare sul suo funzionamento e sulla sua osservanza a un organismo dotato di autonomi poteri di iniziativa e controllo, ferme le particolarità previste per determinate tipologie di enti. La nomina può essere organizzata contestualmente all’adozione, assicurando che siano definiti compiti, poteri e flussi informativi.

5. Dopo l’approvazione del Modello 231 l’azienda deve effettuare ulteriori adempimenti?

Sì. L’impresa deve assicurare l’applicazione delle procedure, la conoscenza delle prescrizioni da parte dei destinatari, l’operatività dei controlli e lo svolgimento delle attività di vigilanza. Deve inoltre verificare periodicamente il Modello e valutarne la modifica quando emergono violazioni significative o cambiamenti nell’organizzazione o nell’attività. L’efficace attuazione è distinta dall’adozione formale e deve poter essere valutata attraverso elementi concreti e documentabili.

Assistenza legale per l’adozione del Modello 231 nella tua azienda

L’adozione del Modello 231 richiede una valutazione delle caratteristiche dell’impresa, dei rischi di reato pertinenti e delle procedure già esistenti. Errori nella mappatura delle attività sensibili, controlli inadeguati o una distribuzione poco chiara delle responsabilità possono compromettere l’effettività del sistema organizzativo.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella valutazione delle esigenze di compliance 231, nella predisposizione del Modello organizzativo, nell’analisi dei rischi e nella definizione dei presidi di prevenzione, tenendo conto della struttura aziendale e delle disposizioni applicabili.

Se la tua società deve avviare l’adozione del Modello 231, organizzare le attività necessarie o verificare come integrare i controlli già esistenti, richiedi una valutazione per il Modello 231 della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze giuridiche e organizzative sulle quali impostare l’eventuale intervento professionale.