Articolo a cura di: Redazione - Studio Legale Calvello
Il Modello organizzativo 231 non è obbligatorio, in via generale, per tutte le aziende italiane. Il D.Lgs. 231/2001 non impone indistintamente alle società di adottarlo, ma prevede un sistema di responsabilità dell’ente per determinati reati commessi nel suo interesse o a suo vantaggio. L’adozione e l’efficace attuazione di un modello idoneo possono assumere rilievo ai fini dell’esclusione della responsabilità, alle condizioni stabilite dalla legge. Per un’impresa, quindi, la questione non si esaurisce nel chiedersi se esista un obbligo formale: occorre verificare l’esposizione ai reati presupposto, le caratteristiche dell’organizzazione e gli eventuali requisiti richiesti da norme settoriali, committenti o rapporti contrattuali. Una valutazione legale preventiva consente agli amministratori di decidere con maggiore consapevolezza se e quando adottare il Modello 231.
Il Modello 231 è obbligatorio per legge? La differenza tra obbligo generale e requisiti specifici
Il D.Lgs. 8 giugno 2001, n. 231 disciplina la responsabilità amministrativa degli enti dipendente da reato. Il suo ambito applicativo comprende, tra gli altri, le società e gli enti forniti di personalità giuridica, nonché le società e le associazioni anche prive di personalità giuridica, ferme le esclusioni previste dall’articolo 1. La disciplina non stabilisce un obbligo generalizzato di adottare il Modello di organizzazione, gestione e controllo per ogni SRL, SPA, PMI o altra impresa rientrante nel suo campo di applicazione.
Questo significa che la mancata adozione del Modello 231 non costituisce, di per sé, un reato e non determina automaticamente una sanzione. La responsabilità dell’ente richiede la sussistenza dei presupposti previsti dal decreto, a partire dalla commissione di uno dei reati presupposto da parte di soggetti qualificati e dal collegamento con l’interesse o il vantaggio dell’ente. L’assenza del modello può però assumere notevole importanza quando viene contestato un illecito, perché priva la società della possibilità di far valere l’adozione preventiva di quel presidio organizzativo secondo il sistema delineato dagli articoli 6 e 7.
Occorre distinguere questa disciplina generale dalle situazioni nelle quali l’adozione di un modello organizzativo può essere richiesta da disposizioni speciali, regole regionali, sistemi di accreditamento o specifici rapporti contrattuali. Alcuni settori regolamentati e determinati rapporti con soggetti pubblici o privati possono prevedere requisiti organizzativi che comprendono il Modello 231. L’esistenza e la portata di tali requisiti devono essere verificate nella normativa applicabile, nel bando, nel capitolato o nel contratto. Non è corretto affermare, ad esempio, che ogni impresa che partecipa a una gara pubblica sia automaticamente obbligata ad avere un Modello 231.
Un caso frequente riguarda le aziende fornitrici di gruppi industriali, multinazionali o grandi committenti. Durante la qualificazione del fornitore può essere richiesta la documentazione relativa al sistema di compliance, compresa l’eventuale adozione di un Modello 231. In queste circostanze la necessità di predisporlo può derivare dalle condizioni commerciali o contrattuali del rapporto, anziché da un obbligo normativo generale. Prima di assumere un impegno è opportuno verificare esattamente che cosa venga richiesto: una dichiarazione di conformità ai principi del decreto, l’adesione a un codice etico del committente oppure l’effettiva adozione di un modello organizzativo aziendale.
Un’ulteriore distinzione riguarda il whistleblowing. Il D.Lgs. 24/2023 prevede obblighi relativi ai canali interni di segnalazione anche per soggetti del settore privato che, pur non raggiungendo la soglia ordinaria dei cinquanta lavoratori subordinati, rientrano nell’ambito della disciplina 231 e adottano modelli di organizzazione e gestione. L’obbligo di istituire un canale di segnalazione non deve però essere confuso con un obbligo generalizzato di adottare il Modello 231. Per comprendere quali imprese siano tenute a istituire il canale interno, rinviamo al nostro approfondimento sul whistleblowing obbligatorio e sulle aziende interessate.
Quando un’azienda dovrebbe adottare il Modello 231 anche in assenza di un obbligo generale
Per stabilire quando sia opportuno adottare il Modello 231, il punto di partenza è l’attività concretamente svolta dall’impresa. Un’azienda manifatturiera con impianti, personale operativo e lavorazioni potenzialmente pericolose presenta un’esposizione diversa rispetto a una società di servizi con pochi dipendenti. Allo stesso modo, un’impresa che gestisce rifiuti, partecipa frequentemente ad appalti o intrattiene rapporti economici complessi con la pubblica amministrazione deve considerare fattispecie di rischio differenti. Non sono soltanto il fatturato, il numero dei dipendenti o la forma societaria a determinare l’opportunità del Modello 231, ma soprattutto i processi aziendali e i reati presupposto che possono interessarli.
Tra le aree da esaminare rientrano, secondo le attività esercitate, i reati in materia di salute e sicurezza sul lavoro, i reati ambientali, quelli tributari, societari e contro la pubblica amministrazione. L’analisi deve considerare anche la distribuzione delle responsabilità, i poteri decisionali, le deleghe, le modalità di autorizzazione delle operazioni e i controlli già presenti. Un’impresa che opera attraverso più sedi, utilizza numerosi subappaltatori o attribuisce ampi poteri a dirigenti e responsabili di funzione può avere necessità di formalizzare controlli più articolati rispetto a una struttura organizzativa semplice.
La valutazione deve essere condotta tenendo presente che il decreto distingue i reati commessi da soggetti in posizione apicale da quelli commessi da persone sottoposte alla loro direzione o vigilanza. Gli articoli 6 e 7 prevedono condizioni differenti per l’esclusione della responsabilità dell’ente. In particolare, il modello deve essere idoneo a prevenire reati della specie di quello verificatosi e deve essere efficacemente attuato. Non basta approvare un documento o conservarlo negli archivi aziendali: occorrono misure organizzative coerenti con i rischi, procedure applicate, controlli effettivi e, nei casi previsti, un Organismo di Vigilanza dotato dei necessari poteri.
Per gli amministratori assume rilievo anche il rapporto con il dovere di istituire assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa, previsto dall’articolo 2086 del Codice civile per l’imprenditore che operi in forma societaria o collettiva. L’obbligo di predisporre assetti adeguati non coincide con un obbligo universale di adottare il Modello 231, ma impone di considerare l’organizzazione e i controlli necessari in relazione all’attività esercitata. Il modello può costituire una componente del sistema di governo e controllo aziendale, senza sostituire automaticamente gli altri presidi richiesti dalla legge.
Un’azienda già dotata di certificazioni ISO, procedure interne, deleghe operative o sistemi di gestione della sicurezza non deve necessariamente ripartire da zero. Questi strumenti possono costituire una base per la costruzione del Modello 231, purché se ne verifichi la corrispondenza ai rischi rilevanti ai sensi del decreto. La presenza di una certificazione, di un codice etico o del documento di valutazione dei rischi non equivale, da sola, all’adozione di un modello organizzativo idoneo ai fini della disciplina 231.
Quando l’impresa valuta per la prima volta l’adozione, noi riteniamo opportuno partire da una ricognizione dei processi aziendali e delle responsabilità interne, individuando le attività nelle quali potrebbero verificarsi reati presupposto e confrontando i rischi con le misure già esistenti. Questa analisi permette di comprendere quali interventi siano effettivamente necessari, evitando di adottare documenti standardizzati che non rappresentano l’organizzazione reale. Le attività richieste per la successiva predisposizione sono approfondite nel nostro articolo dedicato all’adozione del Modello 231 e alle relative fasi operative.
Quali rischi corre l’azienda senza Modello 231 e quali controlli deve valutare
La decisione di non adottare un Modello 231 deve essere considerata anche in relazione alle conseguenze che potrebbero derivare dalla commissione di un reato presupposto. Quando ricorrono le condizioni stabilite dal D.Lgs. 231/2001, la società può essere chiamata a rispondere di un illecito distinto da quello contestato alla persona fisica. Il procedimento nei confronti dell’ente può quindi affiancarsi a quello riguardante l’amministratore, il dirigente o il dipendente coinvolto. La responsabilità della società non deriva automaticamente dal comportamento illecito di una persona che vi lavora: occorre verificare i presupposti normativi, compreso il rapporto tra il reato e l’interesse o il vantaggio dell’ente.
Le conseguenze previste dal decreto possono comprendere sanzioni pecuniarie, confisca e, nei casi e alle condizioni stabiliti dalla legge, sanzioni interdittive. Queste ultime possono incidere direttamente sull’operatività dell’impresa, attraverso limitazioni all’esercizio dell’attività, divieti di contrattare con la pubblica amministrazione o altre misure previste per le fattispecie interessate. Non ogni reato presupposto consente l’applicazione di tutte queste sanzioni, né la mancata adozione del modello comporta automaticamente l’irrogazione di una misura interdittiva. Per un’azienda che dipende da contratti continuativi, autorizzazioni o commesse pubbliche, la valutazione del rischio deve comunque considerare le possibili conseguenze sull’attività economica.
Un aspetto particolarmente delicato riguarda la posizione degli amministratori. L’assenza del Modello 231 non determina, da sola, una loro responsabilità personale, ma può assumere rilievo nella valutazione delle scelte organizzative e dell’adempimento dei doveri gestori, secondo le circostanze concrete. Il consiglio di amministrazione deve quindi considerare se i controlli esistenti siano proporzionati ai rischi dell’impresa e se vi siano carenze organizzative che richiedono un intervento. Per approfondire le conseguenze dell’assenza del modello, abbiamo dedicato un’analisi specifica ai rischi per l’azienda che non ha adottato un Modello 231.
La valutazione preventiva dovrebbe partire dall’individuazione delle attività sensibili, ossia dei processi nei quali potrebbero verificarsi condotte riconducibili ai reati presupposto. Occorre esaminare, ad esempio, come vengono autorizzati i pagamenti, gestiti i rapporti con i funzionari pubblici, selezionati i fornitori, controllati gli adempimenti ambientali e organizzate le responsabilità in materia di sicurezza sul lavoro. La mappatura dei rischi deve poi essere confrontata con le procedure effettivamente applicate, verificando se siano previsti controlli, responsabilità definite, tracciabilità delle decisioni e meccanismi di segnalazione delle anomalie.
Qualora l’azienda decida di adottare il Modello 231, l’articolo 6 del decreto richiede, tra gli altri elementi, protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire, modalità di gestione delle risorse finanziarie idonee a impedire la commissione dei reati e un sistema disciplinare adeguato. Assume rilievo anche l’istituzione di un Organismo di Vigilanza dotato di autonomi poteri di iniziativa e controllo, ferme le particolari soluzioni organizzative consentite dalla normativa. Il sistema deve prevedere obblighi informativi verso l’organismo e verifiche sull’effettivo funzionamento delle misure adottate.
Per le imprese che rientrano nell’ambito applicativo della disciplina sul whistleblowing, devono essere considerati anche gli obblighi relativi ai canali interni di segnalazione e al coordinamento con il sistema 231. La presenza di un canale non sostituisce la mappatura dei rischi o le procedure preventive. Allo stesso modo, l’esistenza di un Organismo di Vigilanza non rende automaticamente adeguato il modello. La disciplina richiede che i diversi presidi siano coerenti con l’organizzazione e concretamente operativi.
Quando la valutazione riguarda una società che ha già ricevuto contestazioni o nella quale si è verificato un illecito, occorre distinguere gli interventi preventivi da quelli successivi al fatto. Un modello adottato dopo la commissione del reato non può essere considerato retroattivamente come un modello preventivamente adottato ed efficacemente attuato ai fini degli articoli 6 e 7. Gli interventi organizzativi successivi possono assumere rilievo nei limiti e alle condizioni previsti dal decreto, anche rispetto alle conseguenze sanzionatorie. In tali situazioni è necessario esaminare separatamente la posizione dell’ente, il procedimento eventualmente avviato e le misure organizzative concretamente realizzabili.
Un esempio pratico: un’impresa che deve decidere se adottare il Modello 231 prima di un nuovo contratto
Consideriamo il caso ipotetico di una società manifatturiera di medie dimensioni che riceve da un importante committente la richiesta di documentare il proprio sistema di prevenzione degli illeciti aziendali. La società dispone già di procedure per la sicurezza sul lavoro, deleghe interne e alcune certificazioni, ma non ha adottato un Modello 231. Gli amministratori devono comprendere se esista un obbligo giuridico, quali requisiti siano effettivamente richiesti dal contratto e se le misure esistenti siano sufficienti rispetto ai rischi dell’attività.
In una situazione di questo tipo, la valutazione legale partirebbe dall’esame della documentazione contrattuale e delle caratteristiche dell’impresa, per poi verificare i processi esposti ai reati presupposto e i controlli già adottati. Particolare attenzione andrebbe riservata ai rapporti con i fornitori, alla gestione degli impianti e alle responsabilità in materia di sicurezza. Sulla base delle carenze riscontrate, gli amministratori potrebbero decidere di procedere all’adozione di un Modello 231 proporzionato alla struttura aziendale, utilizzando le procedure esistenti quando effettivamente compatibili con i requisiti del decreto. L’esempio mostra perché la scelta debba derivare da una verifica concreta, senza presumere che ogni richiesta del committente costituisca un obbligo legislativo generalizzato.
Domande frequenti sull’obbligatorietà del Modello 231
Una SRL con pochi dipendenti è obbligata ad adottare il Modello 231?
Non esiste un obbligo generale collegato alla forma giuridica di SRL o al numero dei dipendenti. Anche una società di piccole dimensioni può però essere esposta alla responsabilità prevista dal D.Lgs. 231/2001. Occorre verificare l’attività esercitata, i reati presupposto pertinenti e l’eventuale presenza di disposizioni speciali o requisiti contrattuali che richiedano l’adozione del modello.
Il Modello 231 è obbligatorio per partecipare agli appalti pubblici?
Non costituisce un requisito generale per tutte le gare pubbliche. La sua adozione può assumere rilievo in specifiche procedure, sistemi di qualificazione o rapporti contrattuali. Prima di predisporre il modello esclusivamente per partecipare a una gara, è necessario verificare il bando, il disciplinare e le disposizioni applicabili, distinguendo i requisiti obbligatori dagli elementi eventualmente valorizzati nella valutazione dell’operatore economico.
Un’azienda con certificazioni ISO deve comunque adottare il Modello 231?
Le certificazioni ISO non sostituiscono automaticamente il Modello 231. I sistemi di gestione già presenti possono essere utilizzati per costruire parte dei controlli organizzativi, ma occorre verificare che siano idonei rispetto ai reati presupposto pertinenti e ai requisiti del D.Lgs. 231/2001. L’eventuale adozione deve quindi essere valutata considerando i rischi effettivi e le procedure già applicate.
Il Modello 231 deve essere adottato prima che venga commesso un reato?
Per assumere la funzione preventiva ed esimente prevista dagli articoli 6 e 7 del decreto, il modello deve essere adottato ed efficacemente attuato prima della commissione del fatto, secondo le condizioni stabilite dalla legge. Un’adozione successiva non produce automaticamente gli stessi effetti, anche se gli interventi organizzativi realizzati dopo il reato possono avere rilevanza nei casi e nei limiti previsti dalla disciplina.
Chi deve decidere se adottare il Modello 231 e approvarlo?
La decisione compete all’organo dirigente dell’ente, secondo la struttura societaria e le regole di governance applicabili. Nelle società amministrate da un consiglio di amministrazione, la valutazione deve essere affrontata nell’ambito delle competenze dell’organo. La predisposizione tecnica può essere affidata a professionisti esterni, ma la responsabilità delle scelte organizzative e dell’effettiva attuazione del sistema rimane in capo ai soggetti competenti all’interno dell’impresa.
Verificare se la propria azienda deve adottare il Modello 231: richiedere una valutazione legale
Stabilire se il Modello 231 sia obbligatorio o opportuno richiede un esame della situazione concreta dell’impresa. La natura dell’attività, i rapporti con committenti pubblici e privati, l’esposizione ai reati presupposto e l’organizzazione dei controlli interni possono incidere sulla decisione. Una valutazione preventiva permette di distinguere gli obblighi effettivamente applicabili dalle misure organizzative consigliabili, individuando gli interventi proporzionati ai rischi aziendali.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nell’analisi degli obblighi e dei rischi connessi al D.Lgs. 231/2001, nella valutazione dell’opportunità di adottare il modello e nell’organizzazione dei relativi presidi di prevenzione e controllo. Se la vostra società deve rispondere a una richiesta di un committente, verificare la propria esposizione alla responsabilità dell’ente o decidere se dotarsi di un sistema 231, potete richiedere una valutazione legale per il Modello 231 della vostra azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono approfondimento.
