Articolo a cura di: Redazione - Studio Legale Calvello

Il Modello 231 per aziende è uno strumento attraverso il quale un’impresa organizza procedure, responsabilità e controlli per prevenire determinati reati che potrebbero comportare una responsabilità a suo carico. La sua adozione non è generalmente obbligatoria per tutte le imprese, ma può assumere particolare rilevanza quando la società opera in settori esposti a rischi penali, partecipa ad appalti, intrattiene rapporti con la Pubblica Amministrazione o deve rispondere a specifiche richieste di clienti e committenti. Per amministratori e imprenditori, la decisione richiede di valutare concretamente l’attività svolta, i rischi esistenti e l’adeguatezza dei controlli aziendali.

Cos’è il Modello 231 e perché può essere necessario per un’azienda

Il Modello di organizzazione, gestione e controllo previsto dal D.Lgs. 231/2001 è un sistema di misure organizzative predisposto per prevenire la commissione di specifici reati nell’ambito dell’attività aziendale. La normativa disciplina la responsabilità amministrativa degli enti derivante da reato, che può aggiungersi alla responsabilità penale della persona fisica che ha commesso l’illecito. Si tratta di una responsabilità autonoma della società, accertata nell’ambito del procedimento previsto dal decreto.

Il problema si presenta quando un reato compreso tra quelli individuati dalla normativa viene commesso nell’interesse o a vantaggio dell’ente da un soggetto che esercita funzioni di rappresentanza, amministrazione o direzione, oppure da una persona sottoposta alla direzione o vigilanza di tali soggetti. Non è sufficiente che un dipendente o un amministratore commetta qualsiasi illecito durante il lavoro: devono ricorrere i presupposti stabiliti dal decreto, compreso il collegamento tra il reato e l’interesse o vantaggio della società. L’articolo 5 esclude infatti la responsabilità dell’ente quando la persona abbia agito nell’interesse esclusivo proprio o di terzi.

Per comprendere l’utilità del Modello 231 occorre considerare situazioni che possono verificarsi nella normale gestione dell’impresa. Un dirigente potrebbe essere coinvolto in episodi di corruzione nell’acquisizione di una commessa; nell’amministrazione potrebbero emergere condotte riconducibili a determinati reati tributari; una grave violazione delle norme antinfortunistiche potrebbe concorrere a causare un infortunio sul lavoro. In presenza dei presupposti previsti dalla legge, tali fatti possono esporre anche la società a un procedimento ai sensi del D.Lgs. 231/2001, con possibili sanzioni pecuniarie e, nei casi stabiliti, interdittive.

Il Modello 231 serve a individuare preventivamente le attività nelle quali tali rischi possono concretizzarsi e a stabilire come devono essere gestite. Non coincide con un documento generico di conformità normativa: deve essere costruito sulla struttura dell’impresa, sulle responsabilità effettivamente attribuite, sui processi decisionali e sulle modalità con cui vengono autorizzate, eseguite e controllate le operazioni aziendali.

Un’impresa manifatturiera, ad esempio, presenta esposizioni differenti rispetto a una società di servizi informatici o a un’impresa che partecipa abitualmente a gare pubbliche. Anche aziende appartenenti allo stesso settore possono richiedere misure diverse in ragione delle dimensioni, dell’organizzazione, dei rapporti con i fornitori e delle attività esternalizzate. Per questo motivo, un Modello 231 standard, semplicemente adattato nella denominazione della società, difficilmente può rappresentare una risposta adeguata ai rischi specifici dell’impresa.

La sua funzione preventiva assume anche rilevanza giuridica. Gli articoli 6 e 7 del D.Lgs. 231/2001 disciplinano le condizioni alle quali l’adozione e l’efficace attuazione di modelli organizzativi idonei possono incidere sulla responsabilità dell’ente. La sola approvazione formale del documento non determina automaticamente l’esclusione della responsabilità: assumono rilievo il momento dell’adozione, l’idoneità delle misure preventive, la loro concreta applicazione e gli ulteriori requisiti richiesti dalla normativa.

Quando adottare il Modello 231: obblighi di legge, rischi aziendali e richieste dei committenti

Una delle domande più frequenti degli amministratori riguarda l’obbligatorietà del Modello 231. Il D.Lgs. 231/2001 non stabilisce un obbligo generalizzato di adozione per tutte le società italiane. Non esiste, quindi, una regola secondo cui ogni SRL debba necessariamente dotarsene per il solo fatto di essere costituita, avere dipendenti o superare una determinata soglia di fatturato.

La valutazione cambia quando intervengono disposizioni settoriali, specifici requisiti applicabili all’attività oppure condizioni richieste nell’ambito di rapporti contrattuali, procedure di qualificazione o sistemi di accreditamento. Un committente può richiedere ai propri fornitori l’adozione di un Modello 231 come condizione per instaurare o proseguire il rapporto commerciale. Analogamente, in determinate procedure di gara o sistemi di qualificazione possono assumere rilievo requisiti organizzativi e di compliance. Occorre però verificare la disciplina applicabile e il contenuto effettivo della richiesta, senza considerare il Modello 231 automaticamente obbligatorio per qualsiasi appalto pubblico o privato.

Per molte imprese la questione principale non è dunque stabilire se esista un obbligo indistinto, ma comprendere se l’esposizione ai reati presupposto renda opportuna l’adozione di un sistema organizzativo specifico. Un’azienda che gestisce appalti complessi, movimenta consistenti risorse finanziarie, opera con numerosi intermediari o svolge attività caratterizzate da rischi per la salute e sicurezza dei lavoratori dovrebbe valutare con attenzione i processi nei quali potrebbero verificarsi condotte rilevanti ai sensi del decreto.

La valutazione deve considerare anche gli obblighi degli amministratori in materia di adeguati assetti organizzativi, amministrativi e contabili, previsti dall’articolo 2086 del Codice civile per gli imprenditori che operano in forma societaria o collettiva. Tale disposizione non impone automaticamente l’adozione del Modello 231, né i due sistemi coincidono. Esiste però un collegamento operativo: la capacità dell’impresa di individuare i rischi, attribuire responsabilità e predisporre controlli coerenti con l’attività svolta costituisce un elemento rilevante della corretta organizzazione aziendale.

Particolare attenzione meritano le società nelle quali le decisioni sono concentrate in poche persone. La presenza di un amministratore unico o di una struttura familiare non esclude l’utilità del Modello 231, ma impone di valutare quali controlli siano concretamente realizzabili e come assicurare un’adeguata separazione delle funzioni, ove necessaria. Anche nelle PMI, le misure preventive devono essere proporzionate alle dimensioni e alla complessità dell’organizzazione, senza rinunciare ai requisiti di effettività previsti dalla normativa.

Un’ulteriore circostanza che può rendere necessaria una verifica è la crescita dell’azienda. L’apertura di nuove sedi, l’ingresso in mercati diversi, l’acquisizione di società o l’avvio di rapporti con committenti pubblici possono modificare sensibilmente l’esposizione ai rischi. In queste situazioni, l’eventuale decisione di adottare il Modello 231 dovrebbe precedere, per quanto possibile, il verificarsi di contestazioni, poiché la funzione preventiva e l’eventuale efficacia esimente previste dalla normativa dipendono anche dalla tempestività dell’adozione e dalla concreta attuazione del sistema.

Prima di procedere è quindi necessario distinguere le richieste contrattuali o settoriali dalla valutazione giuridica dei rischi propri dell’impresa. Solo quest’ultima permette di stabilire quali reati presupposto siano pertinenti, quali processi debbano essere esaminati e quale struttura di prevenzione risulti adeguata, evitando sia l’adozione di un sistema meramente formale sia la sottovalutazione di responsabilità potenzialmente rilevanti.

Quali responsabilità e sanzioni rischia un’azienda senza un Modello 231 adeguato

La mancata adozione del Modello 231 non costituisce, di per sé, un illecito automaticamente sanzionabile ai sensi del D.Lgs. 231/2001. Il rischio giuridico emerge quando viene commesso uno dei reati presupposto previsti dal decreto e ricorrono le condizioni per attribuire la responsabilità anche alla società. In tale situazione, l’assenza di un sistema organizzativo idoneo ed efficacemente attuato può privare l’impresa di uno degli strumenti previsti dalla legge per escludere la responsabilità dell’ente, secondo le condizioni stabilite dagli articoli 6 e 7.

Le conseguenze possono incidere direttamente sull’attività aziendale. Il decreto prevede sanzioni pecuniarie determinate attraverso un sistema di quote e, per i reati e alle condizioni espressamente individuati dalla legge, sanzioni interdittive. Queste ultime possono comprendere l’interdizione dall’esercizio dell’attività, la sospensione o revoca di autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito, il divieto di contrattare con la Pubblica Amministrazione, l’esclusione da agevolazioni e finanziamenti pubblici o il divieto di pubblicizzare beni e servizi. Sono inoltre previste, nei casi disciplinati dal decreto, la confisca e la pubblicazione della sentenza.

Per una società che dipende da commesse pubbliche o da specifiche autorizzazioni amministrative, determinate misure possono produrre conseguenze operative particolarmente gravose. Non ogni contestazione comporta però l’applicazione di sanzioni interdittive: occorre verificare il reato contestato, i presupposti normativi, le circostanze del fatto e le condizioni previste per ciascuna misura. Anche l’eventuale applicazione di misure cautelari durante il procedimento è subordinata ai requisiti stabiliti dalla legge.

La responsabilità dell’ente deve essere distinta da quella personale degli amministratori e dei dipendenti. Il Modello 231 non costituisce un’esenzione generale dalla responsabilità civile o penale delle persone fisiche e non sostituisce gli obblighi che gravano sugli organi societari. La sua funzione riguarda specificamente la prevenzione dei reati rilevanti ai sensi del decreto e, al ricorrere dei presupposti normativi, la posizione della società nel relativo procedimento.

Quando un’impresa decide di adottarlo, il percorso deve partire dalla mappatura delle attività sensibili e dalla valutazione dei rischi di commissione dei reati presupposto. Occorre esaminare i processi effettivamente svolti, individuare chi assume le decisioni, verificare i poteri di autorizzazione e controllo e identificare le situazioni nelle quali potrebbero verificarsi condotte illecite nell’interesse o a vantaggio dell’ente. Questa analisi permette di definire protocolli e procedure coerenti con la struttura aziendale, anziché introdurre prescrizioni generiche difficilmente applicabili.

Il sistema deve comprendere, secondo quanto previsto dalla normativa e in relazione alla concreta organizzazione, protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente, modalità di gestione delle risorse finanziarie idonee a impedire la commissione dei reati e obblighi di informazione verso l’organismo deputato alla vigilanza. Assume rilievo anche un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel Modello. Il codice etico, pur non esaurendo da solo i requisiti del decreto, può integrare tale sistema definendo principi di comportamento e regole applicabili ai rapporti interni ed esterni.

Un ulteriore elemento riguarda l’Organismo di Vigilanza (OdV), al quale l’articolo 6 attribuisce, nei casi disciplinati dalla disposizione, il compito di vigilare sul funzionamento e sull’osservanza del Modello e di curarne l’aggiornamento. La sua configurazione deve essere valutata considerando autonomia, indipendenza, professionalità e continuità d’azione, nonché le specifiche previsioni applicabili agli enti di piccole dimensioni. La semplice nomina di un organismo, senza attribuzione di poteri effettivi, risorse adeguate e flussi informativi, non è sufficiente a dimostrare l’efficacia della vigilanza.

Il Modello deve inoltre coordinarsi, quando applicabile, con gli obblighi in materia di whistleblowing previsti dal D.Lgs. 24/2023. Le imprese che rientrano nell’ambito della disciplina devono organizzare canali e procedure di segnalazione conformi ai requisiti normativi. Il rapporto tra gestore delle segnalazioni e Organismo di Vigilanza richiede particolare attenzione, soprattutto quando le informazioni riguardano possibili reati presupposto o violazioni delle procedure 231. La riservatezza delle persone coinvolte e la corretta gestione delle informazioni devono essere assicurate nel rispetto delle rispettive competenze.

Il collegamento con il sistema di segnalazione aziendale può essere approfondito nella nostra guida al whistleblowing aziendale e agli obblighi di gestione delle segnalazioni, fermo restando che l’adozione del Modello 231 e l’adempimento degli obblighi whistleblowing rispondono a presupposti normativi distinti.

La verifica dell’effettiva attuazione del Modello richiede infine attività periodiche di controllo, formazione del personale interessato, documentazione delle verifiche e aggiornamento delle misure quando emergono violazioni significative, mutamenti organizzativi o modifiche dell’attività. Un sistema predisposto anni prima e mai riesaminato potrebbe non rappresentare più adeguatamente i rischi dell’impresa. Per questa ragione, l’idoneità del Modello non può essere valutata esclusivamente attraverso la lettura del documento approvato, ma richiede l’esame delle procedure concretamente applicate e delle evidenze disponibili.

Un esempio pratico: una società manifatturiera che valuta l’adozione del Modello 231

Si consideri il caso ipotetico di una società manifatturiera di medie dimensioni che, dopo aver ampliato la propria attività e acquisito nuovi committenti, riceva la richiesta di documentare il proprio sistema di prevenzione dei rischi rilevanti ai sensi del D.Lgs. 231/2001. L’impresa dispone già di procedure per la sicurezza sul lavoro, controlli amministrativi e un sistema di autorizzazione degli acquisti, ma non ha mai effettuato una valutazione complessiva dei reati presupposto né adottato un Modello 231.

La prima attività consiste nell’esaminare l’organizzazione effettiva della società e individuare i processi potenzialmente esposti, con particolare attenzione alla gestione degli appalti, ai rapporti con fornitori e intermediari, alle operazioni amministrative e alla sicurezza dei lavoratori. L’analisi deve distinguere i controlli già esistenti dalle eventuali carenze, evitando di duplicare procedure che risultino adeguate e concretamente applicate.

Il passaggio più delicato riguarda l’attribuzione delle responsabilità e la verifica dell’effettivo funzionamento dei controlli. Se, ad esempio, una stessa persona può selezionare un fornitore, autorizzare una spesa e disporre il pagamento senza verifiche indipendenti, occorre valutare se tale concentrazione di poteri determini un’esposizione rilevante e quali misure siano proporzionate alla struttura aziendale.

Sulla base delle risultanze, la società può valutare l’adozione di un Modello organizzativo personalizzato, definendo protocolli, flussi informativi, sistema disciplinare e modalità di vigilanza. Il percorso deve comprendere anche le attività necessarie a rendere operative le misure individuate. L’obiettivo non è produrre un documento da esibire al committente, ma predisporre un sistema di prevenzione concretamente applicabile e verificabile, la cui idoneità deve essere valutata in relazione ai rischi effettivi dell’impresa.

Domande frequenti sul Modello 231 per aziende

Una SRL con pochi dipendenti deve obbligatoriamente adottare il Modello 231?

No. Il D.Lgs. 231/2001 non prevede un obbligo generalizzato di adozione basato sulla forma societaria o sul numero dei dipendenti. Anche una piccola SRL, però, può essere esposta alla responsabilità dell’ente per determinati reati. Occorre quindi verificare i rischi dell’attività, eventuali disposizioni settoriali e specifiche condizioni contrattuali richieste dai committenti.

Un’azienda che possiede già certificazioni ISO deve adottare anche il Modello 231?

Le certificazioni ISO non sostituiscono automaticamente il Modello 231. I sistemi di gestione già presenti possono costituire una base utile per predisporre controlli e procedure, ma è necessario verificare che soddisfino anche i requisiti specifici del D.Lgs. 231/2001, compresa la prevenzione dei reati presupposto pertinenti all’attività aziendale.

Il Modello 231 può essere adottato dopo che un amministratore o un dipendente ha commesso un reato?

Sì, ma l’adozione successiva al fatto non produce l’efficacia esimente prevista dagli articoli 6 e 7 per i modelli adottati ed efficacemente attuati prima della commissione del reato. Gli interventi organizzativi successivi possono assumere rilievo ai fini delle disposizioni sulle sanzioni e sulle misure interdittive, quando ricorrono le condizioni stabilite dalla legge. È necessaria una valutazione della situazione concreta.

Un Modello 231 approvato anni fa è ancora valido?

Non esiste una scadenza generale del Modello 231, ma la sua efficacia dipende anche dall’adeguatezza rispetto all’organizzazione e ai rischi attuali. Modifiche dell’attività, nuove fattispecie di reato presupposto, riorganizzazioni o violazioni significative possono richiedere una revisione. L’articolo 7 del decreto prevede verifiche periodiche e modifiche del modello nei casi indicati dalla norma.

Quanto tempo occorre per adottare un Modello 231 aziendale?

La durata dipende dalle dimensioni dell’impresa, dalla complessità dei processi, dal numero delle attività sensibili e dalla documentazione già disponibile. Una società con procedure consolidate può richiedere interventi differenti rispetto a un’impresa priva di controlli formalizzati. Il percorso comprende l’analisi dei rischi, la predisposizione delle misure organizzative, l’approvazione del modello e le attività necessarie alla sua effettiva attuazione.

Richiedi una valutazione sull’adozione del Modello 231 per la tua azienda

Stabilire se adottare un Modello 231 e quale sistema di prevenzione predisporre richiede un esame dell’attività aziendale, dei reati presupposto pertinenti, delle procedure già esistenti e delle eventuali richieste di clienti o committenti. La stessa valutazione è opportuna quando l’impresa dispone già di un modello, ma deve verificarne l’adeguatezza rispetto all’organizzazione attuale.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nell’analisi delle problematiche giuridiche e organizzative connesse al D.Lgs. 231/2001, valutando le esigenze specifiche della società e gli interventi professionali necessari.

Se la tua azienda deve decidere se adottare un Modello 231, rispondere a una richiesta di compliance di un committente oppure verificare il proprio sistema organizzativo, richiedi una valutazione per il Modello 231 della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni da approfondire e le possibili modalità di assistenza.