Articolo a cura di: Redazione - Studio Legale Calvello

Una piccola impresa può adottare un Modello 231 semplificato, con procedure e controlli proporzionati alle proprie dimensioni, senza dover replicare l’organizzazione di una grande società. La semplificazione, però, non può riguardare le misure necessarie a prevenire i reati concretamente collegati all’attività aziendale. Un modello poco costoso, costruito utilizzando documenti standard e privo di controlli effettivi, rischia di non offrire la tutela per la quale è stato adottato.

Il problema riguarda soprattutto le PMI con pochi dipendenti, le società familiari e le imprese amministrate direttamente dal titolare, nelle quali le responsabilità operative sono spesso concentrate nelle stesse persone. Il D.Lgs. 231/2001 consente di tenere conto delle dimensioni dell’ente, ma richiede comunque un’organizzazione idonea rispetto ai rischi individuati. Prima di predisporre il modello occorre quindi verificare quali attività espongono la società a possibili responsabilità, quali controlli sono già presenti e quali interventi risultano necessari. È su questa valutazione che deve basarsi anche l’eventuale ricorso a una consulenza legale specializzata.

Quando una piccola impresa può adottare un Modello 231 semplificato

Il D.Lgs. 231/2001 non prevede un modello organizzativo unico, identico per tutte le imprese. L’articolo 6 richiede che il sistema di organizzazione, gestione e controllo sia costruito in relazione alla natura e alle dimensioni dell’organizzazione e al tipo di attività svolta. Questo permette a una piccola società di adottare procedure meno articolate rispetto a quelle necessarie in un gruppo industriale, purché siano concretamente adeguate a prevenire i reati rilevanti.

La possibilità di semplificazione non dipende esclusivamente dal numero dei dipendenti o dal fatturato. Una società con dieci lavoratori che gestisce appalti, subappalti, lavorazioni pericolose o rapporti frequenti con la pubblica amministrazione può presentare rischi organizzativi superiori a quelli di un’impresa più grande che svolge attività meno esposte. Allo stesso modo, la presenza di un amministratore unico o di una struttura familiare non giustifica automaticamente l’eliminazione dei controlli: quando le decisioni sono concentrate in poche persone, può essere necessario individuare modalità alternative di verifica e tracciabilità.

Occorre distinguere la semplificazione del Modello 231 dalla sua incompletezza. La prima consiste nell’adattare strumenti e procedure alla realtà aziendale, evitando duplicazioni e formalità prive di utilità. La seconda si verifica quando vengono omesse attività necessarie, come l’analisi dei rischi, la regolamentazione dei processi sensibili o il controllo sull’effettiva applicazione delle misure adottate. Un modello composto soltanto da un codice etico e da alcune dichiarazioni di principio difficilmente può rispondere alle esigenze di un’impresa esposta a specifici rischi di reato.

Per le aziende di dimensioni ridotte è utile distinguere anche l’adozione volontaria del modello dagli obblighi che possono derivare da disposizioni particolari, condizioni contrattuali o requisiti di qualificazione. Il Modello 231 non è generalmente obbligatorio per tutte le piccole imprese, ma la sua assenza può assumere rilievo qualora venga contestato alla società uno dei reati presupposto previsti dal decreto. Può inoltre essere richiesto da clienti, committenti o procedure di selezione dei fornitori. La questione dell’obbligatorietà è approfondita nel nostro articolo Il Modello 231 è obbligatorio? Quando un’azienda dovrebbe adottarlo.

Una PMI che decide di dotarsi del modello dovrebbe pertanto partire dalle proprie attività effettive, non da un documento preconfezionato. Se l’impresa dispone già di procedure amministrative, controlli sulla sicurezza del lavoro, sistemi di autorizzazione dei pagamenti o strumenti di verifica dei fornitori, tali presidi possono essere esaminati e, ove adeguati, integrati nel sistema 231. La finalità è costruire un’organizzazione sostenibile per l’impresa, senza rinunciare ai requisiti richiesti dalla normativa.

Come predisporre un Modello 231 proporzionato alle dimensioni e ai rischi aziendali

La predisposizione di un modello semplificato richiede innanzitutto una mappatura dei rischi di commissione dei reati presupposto. Non è necessario attribuire lo stesso livello di approfondimento a ogni fattispecie contemplata dal D.Lgs. 231/2001: occorre individuare quelle concretamente pertinenti all’attività svolta e verificare in quali processi aziendali potrebbero verificarsi condotte rilevanti. Per una piccola impresa edile, ad esempio, possono assumere particolare rilievo la sicurezza sul lavoro, la gestione dei subappalti e determinati rischi ambientali; per una società commerciale, l’analisi potrebbe concentrarsi maggiormente sui rapporti con fornitori, clienti, intermediari e sulla gestione amministrativa.

Il risk assessment 231 deve considerare anche il modo in cui l’impresa opera realmente. È necessario comprendere chi autorizza le spese, chi controlla i pagamenti, come vengono selezionati i fornitori, chi sottoscrive i contratti e quali verifiche precedono le decisioni più esposte. Nelle organizzazioni con personale ridotto non sempre è possibile separare rigidamente le funzioni. In questi casi si possono valutare controlli compensativi, verifiche periodiche documentate, autorizzazioni specifiche o il coinvolgimento di soggetti diversi nelle operazioni maggiormente sensibili.

Una volta individuati i rischi, il modello deve tradurli in regole operative comprensibili. Le procedure non devono essere necessariamente numerose, ma devono stabilire responsabilità, modalità decisionali, controlli e criteri di documentazione. Il codice etico definisce i principi di comportamento dell’organizzazione, mentre il sistema disciplinare deve prevedere conseguenze appropriate per le violazioni delle misure del modello, nel rispetto della normativa applicabile e dei rapporti contrattuali. La formazione deve essere calibrata sulle funzioni concretamente svolte, affinché amministratori e dipendenti conoscano le regole che li riguardano.

Particolare attenzione richiede l’Organismo di Vigilanza nelle piccole imprese. L’articolo 6, comma 4, del D.Lgs. 231/2001 prevede che, negli enti di piccole dimensioni, i compiti dell’organismo possano essere svolti direttamente dall’organo dirigente. Questa possibilità non costituisce però una soluzione automaticamente adeguata per qualsiasi PMI. Occorre valutare l’effettiva capacità di esercitare la vigilanza, i possibili conflitti di interessi e la concentrazione delle funzioni decisionali. In determinate situazioni può risultare preferibile un Organismo di Vigilanza monocratico esterno, purché dotato dei requisiti necessari e delle condizioni per svolgere concretamente il proprio incarico.

La scelta deve tenere conto anche dei costi di funzionamento. Un modello organizzativo sostenibile non è necessariamente quello che comporta la minore spesa iniziale: occorre considerare la predisposizione della documentazione, le attività di controllo, gli aggiornamenti, la formazione e l’eventuale incarico conferito all’OdV. Per una piccola società, utilizzare correttamente procedure e controlli già esistenti può ridurre gli oneri organizzativi, mentre eliminare verifiche necessarie soltanto per contenere il preventivo può compromettere l’efficacia del sistema.

Il modello deve infine coordinarsi con gli eventuali obblighi in materia di whistleblowing. Le imprese che rientrano nell’ambito di applicazione del D.Lgs. 24/2023 devono organizzare il canale interno di segnalazione secondo i requisiti previsti dalla disciplina, tenendo conto anche delle specifiche disposizioni applicabili agli enti che adottano un Modello 231. Per le realtà prive di un ufficio legale o compliance strutturato, la gestione può richiedere soluzioni organizzative proporzionate, come approfondiamo nell’articolo Whistleblowing nelle PMI: come gestirlo senza ufficio legale.

La documentazione deve rappresentare il funzionamento effettivo dell’azienda. Un modello formalmente articolato ma non applicato può risultare meno idoneo di un sistema essenziale, nel quale le responsabilità siano definite, i controlli eseguiti e le verifiche documentate. È questa corrispondenza tra rischi, procedure e attività quotidiana che consente di valutare se la semplificazione organizzativa sia compatibile con le esigenze di prevenzione previste dal D.Lgs. 231/2001.

Quali controlli e responsabilità non possono essere eliminati dal Modello 231 semplificato

La semplificazione organizzativa incontra un limite preciso: il modello deve conservare i presidi necessari a prevenire i reati che possono essere commessi nell’interesse o a vantaggio della società. Gli articoli 6 e 7 del D.Lgs. 231/2001 distinguono le condizioni rilevanti in relazione ai reati commessi dai soggetti apicali e da quelli sottoposti alla loro direzione o vigilanza. In entrambi i casi, la valutazione dell’organizzazione aziendale assume rilievo rispetto ai presupposti della responsabilità dell’ente. Le dimensioni ridotte dell’impresa non costituiscono, da sole, una causa di esclusione della responsabilità prevista dal decreto.

Un Modello 231 semplificato deve quindi individuare le attività nelle quali possono essere commessi i reati presupposto, prevedere protocolli diretti a programmare la formazione e l’attuazione delle decisioni aziendali, disciplinare la gestione delle risorse finanziarie e stabilire obblighi informativi nei confronti dell’Organismo di Vigilanza. Deve inoltre comprendere un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure previste. L’articolo 6 richiede anche che il modello sia verificato periodicamente e modificato quando emergano violazioni significative delle prescrizioni oppure intervengano mutamenti nell’organizzazione o nell’attività dell’impresa.

Nelle piccole società, una delle difficoltà più frequenti riguarda la concentrazione dei poteri. Se l’amministratore gestisce direttamente fornitori, contratti, pagamenti e rapporti commerciali, non è sempre possibile introdurre una separazione delle funzioni analoga a quella delle imprese strutturate. Ciò non significa che i controlli possano essere eliminati. Possiamo invece valutare procedure di autorizzazione e verifica compatibili con l’organizzazione esistente, prevedendo, per esempio, criteri documentati per la scelta dei fornitori, tracciabilità dei pagamenti, controlli contabili periodici e verifiche sulle operazioni che presentano un’esposizione maggiore.

La stessa attenzione riguarda le attività affidate a consulenti, collaboratori e soggetti esterni. Una piccola impresa può delegare numerose funzioni amministrative o tecniche, ma l’esternalizzazione non rende automaticamente adeguato il proprio sistema di prevenzione. Occorre stabilire quali informazioni devono essere trasmesse, come vengono controllate le prestazioni e quali anomalie devono essere segnalate. Anche il rapporto con l’Organismo di Vigilanza deve essere regolato attraverso flussi informativi concretamente utilizzabili, evitando adempimenti meramente formali che non consentano di conoscere le situazioni rilevanti.

Un ulteriore problema riguarda i modelli acquistati a basso costo o predisposti attraverso formulari standard. Il ricorso a schemi e linee guida può essere utile come riferimento metodologico, ma un documento non personalizzato non dimostra, di per sé, l’esistenza di un’organizzazione idonea. Se la mappatura dei rischi non corrisponde alle attività effettive, se le procedure non vengono applicate o se mancano evidenze delle verifiche svolte, il modello può presentare carenze rilevanti. La questione è distinta dalla semplice presenza del documento in azienda ed è approfondita nell’articolo Modello 231 predisposto ma non applicato: perché può essere inefficace.

La valutazione deve considerare anche il rapporto tra costi e attività necessarie. Un preventivo per la redazione del Modello 231 dovrebbe chiarire se comprende l’analisi preliminare, la mappatura dei rischi, la predisposizione delle procedure, il sistema disciplinare, il supporto all’adozione e le eventuali attività successive. L’incarico dell’Organismo di Vigilanza, la formazione e le verifiche periodiche possono richiedere prestazioni ulteriori, da definire secondo le caratteristiche dell’impresa. Per questo motivo, il costo di un Modello 231 semplificato non può essere valutato correttamente senza conoscere l’attività aziendale e il livello di rischio.

La necessità di mantenere controlli effettivi diventa particolarmente evidente quando l’impresa cresce, assume personale, acquisisce nuovi clienti o entra in settori diversi da quelli iniziali. Un modello proporzionato a una società con pochi addetti potrebbe richiedere modifiche dopo l’apertura di nuove sedi, l’introduzione di lavorazioni pericolose o l’affidamento di attività a nuovi intermediari. La semplificazione deve quindi essere concepita come una modalità di organizzazione adattabile, nella quale l’adeguatezza dei presidi viene verificata rispetto all’evoluzione concreta dell’impresa.

Esempio pratico: una piccola società con amministratore unico e procedure organizzative essenziali

Consideriamo, a titolo puramente esemplificativo, una piccola società commerciale con dodici dipendenti, amministrata direttamente dal titolare e interessata ad adottare un Modello 231 anche per rispondere alle richieste di un importante committente. L’impresa dispone già di procedure contabili e di controllo dei pagamenti, ma non ha formalizzato una mappatura dei rischi di reato né individuato specifici flussi informativi verso un Organismo di Vigilanza.

In una situazione di questo tipo, l’intervento professionale dovrebbe partire dall’esame dei processi esistenti, dei contratti, delle responsabilità interne e delle operazioni maggiormente esposte. L’aspetto più delicato sarebbe la concentrazione delle decisioni nell’amministratore unico, da affrontare individuando controlli documentabili senza introdurre passaggi incompatibili con le dimensioni della società. Si potrebbe quindi predisporre un modello personalizzato, integrando le procedure già adeguate, disciplinando quelle mancanti e valutando la soluzione più appropriata per la vigilanza.

Il risultato organizzativo da perseguire sarebbe un Modello 231 proporzionato, concretamente applicabile e soggetto a verifica periodica, senza presumere che la sua adozione comporti automaticamente l’esclusione della responsabilità dell’ente.

Domande frequenti sul Modello 231 semplificato per piccole imprese

Una piccola impresa può adottare un Modello 231 senza nominare un Organismo di Vigilanza esterno?

Sì, in determinate condizioni. L’articolo 6, comma 4, del D.Lgs. 231/2001 consente agli enti di piccole dimensioni di attribuire i compiti di vigilanza direttamente all’organo dirigente. La scelta richiede però una valutazione concreta della struttura aziendale, dell’effettiva capacità di controllo e dei possibili conflitti di interessi. In presenza di rischi organizzativi particolari, può essere opportuno affidare la vigilanza a un professionista esterno.

Un Modello 231 semplificato può essere utilizzato anche da una SRL con amministratore unico?

Sì. La presenza di un amministratore unico non impedisce l’adozione di un modello proporzionato alle dimensioni societarie. Occorre però considerare che la concentrazione dei poteri decisionali può rendere più difficile la separazione delle funzioni. Il modello deve quindi prevedere controlli compatibili con tale organizzazione, documentando le operazioni maggiormente esposte e individuando modalità di verifica effettivamente praticabili.

È sufficiente acquistare un facsimile di Modello 231 e adattarlo alla propria azienda?

No, se l’adattamento consiste soltanto nella modifica dei dati societari o in interventi formali. Un facsimile può costituire una base di lavoro, ma il modello deve derivare dall’analisi delle attività aziendali, dei reati presupposto pertinenti e dei controlli concretamente necessari. La sua eventuale efficacia ai fini del D.Lgs. 231/2001 dipende anche dall’adozione tempestiva e dall’effettiva attuazione delle misure previste.

Una piccola impresa può utilizzare le procedure ISO già esistenti per il Modello 231?

Sì, purché ne venga verificata l’idoneità rispetto ai rischi rilevanti ai sensi del D.Lgs. 231/2001. Le procedure adottate nell’ambito di sistemi di gestione della qualità, della sicurezza o dell’ambiente possono costituire una parte dei controlli organizzativi, evitando duplicazioni documentali. La presenza di una certificazione ISO, tuttavia, non equivale automaticamente all’adozione di un Modello 231 idoneo ed efficacemente attuato.

Quanto tempo occorre per predisporre un Modello 231 semplificato?

La durata dipende dalla complessità delle attività, dalla documentazione già disponibile e dal numero dei processi da esaminare. Una piccola società con procedure organizzative consolidate può richiedere un intervento meno articolato rispetto a un’impresa che deve costruire da zero il proprio sistema di controllo. Prima di definire tempi e costi è opportuno effettuare una valutazione preliminare, distinguendo la predisposizione documentale dalle successive attività di attuazione, formazione e vigilanza.

Modello 231 semplificato per la tua impresa: richiedi una valutazione legale

Se la tua società intende adottare un Modello 231 semplificato, oppure deve verificare se le procedure già esistenti siano sufficienti, è necessario esaminare l’attività svolta, i rischi di reato concretamente rilevanti e l’organizzazione dei controlli interni. Le dimensioni ridotte possono giustificare soluzioni meno articolate, ma non l’eliminazione delle misure necessarie a rendere il modello adeguato ed effettivamente applicabile.

Noi dello Studio Legale Calvello assistiamo le imprese nella valutazione delle esigenze di compliance 231, nella predisposizione di modelli organizzativi proporzionati, nella definizione delle procedure di prevenzione e nell’individuazione delle soluzioni più appropriate per l’Organismo di Vigilanza.

Per sottoporre la situazione della tua azienda al nostro Studio, richiedi una valutazione del Modello 231 attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze organizzative e gli eventuali interventi professionali da approfondire.