Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che non ha adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 non è, per questo solo fatto, automaticamente in violazione della legge. L’assenza del Modello 231 può però esporre la società a conseguenze rilevanti quando un amministratore, un dirigente o un dipendente commette determinati reati nell’interesse o a vantaggio dell’ente. In presenza dei presupposti previsti dalla normativa, l’impresa può subire sanzioni pecuniarie, misure interdittive e provvedimenti patrimoniali capaci di incidere sulla continuità dell’attività.

Il problema riguarda anche società che non hanno mai ricevuto contestazioni e ritengono sufficienti le proprie procedure amministrative, le certificazioni o i controlli già esistenti. Per comprendere se sia opportuno adottare un Modello 231 occorre valutare concretamente le attività svolte, i reati ai quali l’organizzazione è esposta e l’effettiva capacità dei controlli interni di prevenirli. Quando emergono carenze organizzative, richieste di committenti o situazioni potenzialmente rilevanti ai fini del decreto, una valutazione legale preventiva consente di individuare gli interventi necessari.

Cosa rischia concretamente una società che opera senza Modello 231

Il D.Lgs. 231/2001 disciplina la responsabilità amministrativa degli enti per determinati reati commessi da persone che ricoprono funzioni di rappresentanza, amministrazione o direzione, oppure da soggetti sottoposti alla loro direzione o vigilanza. Si tratta di una responsabilità autonoma dell’ente, accertata nell’ambito del procedimento penale, che può aggiungersi a quella personale dell’autore del reato.

La circostanza che un’impresa non abbia adottato un Modello 231 non costituisce, di regola, un illecito autonomamente sanzionato dal decreto. Il rischio emerge quando viene commesso un reato compreso tra quelli espressamente previsti dalla normativa e ricorrono gli ulteriori presupposti per attribuirne la responsabilità alla società. L’assenza del Modello può assumere particolare rilievo nella valutazione dell’organizzazione aziendale e delle misure predisposte per prevenire il reato. Non determina però, da sola, una responsabilità automatica.

Consideriamo un’impresa nella quale un dirigente realizzi una condotta corruttiva per ottenere una commessa, oppure una società nella quale gravi violazioni delle norme antinfortunistiche concorrano a provocare un infortunio mortale. In situazioni di questo genere, oltre alle responsabilità individuali, può essere contestato un illecito ai sensi del D.Lgs. 231/2001, purché ricorrano tutti gli elementi richiesti dalla legge. Il giudizio sull’ente riguarda anche il rapporto tra il reato e l’organizzazione aziendale, con particolare attenzione ai processi decisionali, ai poteri attribuiti e ai controlli effettivamente esercitati.

Le conseguenze economiche possono essere considerevoli. Il decreto prevede sanzioni pecuniarie determinate attraverso un sistema di quote, il cui numero e valore vengono stabiliti secondo i criteri normativi. Nei casi previsti possono applicarsi anche sanzioni interdittive, tra cui l’interdizione dall’esercizio dell’attività, la sospensione o revoca di autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito, il divieto di contrattare con la pubblica amministrazione e l’esclusione da agevolazioni, finanziamenti, contributi o sussidi.

Il decreto contempla inoltre la confisca del prezzo o del profitto del reato, secondo le condizioni stabilite dalla legge, e la pubblicazione della sentenza nei casi previsti. Durante il procedimento possono essere adottate misure cautelari interdittive o reali quando ne sussistono gli specifici presupposti. Per una società che dipende da appalti, autorizzazioni amministrative o contratti di fornitura continuativi, tali conseguenze possono compromettere rapporti commerciali e operatività, anche prima della definizione definitiva del procedimento.

Esiste poi un rischio organizzativo che precede qualsiasi contestazione. Una società priva di una mappatura dei processi sensibili potrebbe non avere individuato adeguatamente chi autorizza pagamenti, seleziona fornitori, gestisce rapporti con funzionari pubblici o controlla gli adempimenti in materia di sicurezza. Quando queste attività sono affidate a singole persone senza verifiche proporzionate, diventa più difficile prevenire comportamenti illeciti e ricostruire le decisioni aziendali. Il problema non è soltanto la mancanza di un documento denominato Modello 231, ma l’eventuale insufficienza del sistema di prevenzione rispetto ai rischi concretamente presenti nell’impresa.

Quando l’assenza del Modello 231 può comportare la responsabilità dell’azienda

Per comprendere la reale esposizione della società occorre distinguere la commissione di un reato dalla responsabilità che può derivarne per l’ente. Il D.Lgs. 231/2001 non si applica indistintamente a qualsiasi comportamento illecito verificatosi nell’ambiente di lavoro. È necessario che il fatto rientri tra i reati presupposto previsti dal decreto e che sia stato commesso, secondo i criteri dell’articolo 5, nell’interesse o a vantaggio dell’ente da uno dei soggetti indicati dalla disposizione. L’ente non risponde quando tali soggetti hanno agito nell’interesse esclusivo proprio o di terzi.

La distinzione assume rilievo nelle imprese in cui gli amministratori esercitano direttamente funzioni operative e nelle organizzazioni più articolate, dove le decisioni vengono distribuite tra direzione generale, responsabili di funzione e personale subordinato. Il decreto prevede infatti regole differenti a seconda che il reato sia commesso da un soggetto apicale oppure da una persona sottoposta alla direzione o vigilanza altrui.

Nel primo caso, l’articolo 6 disciplina le condizioni alle quali l’ente può essere esonerato dalla responsabilità. Tra queste rientrano l’adozione e l’efficace attuazione, prima della commissione del fatto, di modelli organizzativi idonei a prevenire reati della specie di quello verificatosi, l’affidamento della vigilanza a un organismo dotato di autonomi poteri di iniziativa e controllo, l’elusione fraudolenta del modello da parte degli autori del reato e l’assenza di omessa o insufficiente vigilanza da parte dell’organismo. La verifica deve riguardare tutte le condizioni richieste dalla disposizione, comprese le eventuali particolarità organizzative previste dalla legge.

Quando invece il reato è commesso da un soggetto sottoposto, l’articolo 7 collega la responsabilità dell’ente all’inosservanza degli obblighi di direzione o vigilanza. Tale inosservanza è esclusa se l’ente, prima della commissione del reato, ha adottato ed efficacemente attuato un modello idoneo a prevenirne la specie. La presenza di un Modello 231 formalmente approvato non basta: devono essere verificabili la sua concreta applicazione, la coerenza con i rischi aziendali e il funzionamento dei controlli.

Queste disposizioni spiegano perché un’impresa senza Modello 231 possa trovarsi in una posizione difensiva più complessa, senza che ciò equivalga a una presunzione assoluta di responsabilità. L’accertamento deve comunque rispettare i presupposti normativi e le regole probatorie applicabili. Occorre esaminare il reato contestato, la posizione dell’autore, l’interesse o vantaggio dell’ente e le eventuali carenze organizzative rilevanti rispetto al fatto.

Tra le aree maggiormente esposte, in funzione delle attività effettivamente svolte, rientrano i rapporti con la pubblica amministrazione, la gestione fiscale e contabile, la sicurezza sul lavoro, la tutela ambientale, i rapporti commerciali e la gestione delle risorse finanziarie. Per esempio, un’impresa edile può presentare rischi diversi rispetto a una società commerciale che opera attraverso una rete di agenti o a un’azienda manifatturiera con processi produttivi complessi. La valutazione deve considerare anche le attività esternalizzate, le deleghe, i rapporti con i fornitori e il grado di autonomia riconosciuto ai responsabili.

Le certificazioni di qualità, i sistemi di gestione della sicurezza, le procedure anticorruzione e gli strumenti di controllo interno possono costituire elementi utili dell’organizzazione aziendale, ma non sostituiscono automaticamente un Modello 231 idoneo ed efficacemente attuato. Occorre verificare quali rischi coprano realmente, quali procedure siano documentate e se esistano controlli specifici rispetto ai reati presupposto pertinenti.

Un ulteriore profilo riguarda gli amministratori. La responsabilità dell’ente prevista dal decreto deve essere tenuta distinta dall’eventuale responsabilità degli organi sociali per violazione dei propri doveri. La mancata adozione del Modello 231 non comporta automaticamente una responsabilità personale degli amministratori, ma può concorrere, secondo le circostanze, alla valutazione dell’adeguatezza degli assetti organizzativi e della diligenza nella gestione dei rischi aziendali. Per questo la decisione di non adottare il Modello dovrebbe derivare da una valutazione consapevole e documentata, anziché dalla semplice convinzione che il decreto riguardi soltanto le grandi società.

Come valutare i rischi e intervenire quando l’azienda non ha adottato il Modello 231

Quando una società opera senza Modello 231, il primo intervento non consiste necessariamente nella predisposizione immediata di un documento organizzativo. Occorre verificare quali attività aziendali possano esporre l’ente ai reati presupposto previsti dal D.Lgs. 231/2001, quali controlli siano già presenti e quali carenze possano assumere rilievo in caso di contestazione. La valutazione deve partire dall’organizzazione effettiva dell’impresa, non da un modello standard applicato indistintamente a qualsiasi società.

La mappatura dei rischi, comunemente denominata risk assessment 231, permette di individuare i processi nei quali possono verificarsi condotte rilevanti ai fini della responsabilità dell’ente. L’analisi riguarda, secondo le caratteristiche dell’impresa, l’autorizzazione delle operazioni economiche, la gestione dei rapporti con la pubblica amministrazione, gli acquisti, la selezione dei fornitori, la contabilità, la fiscalità, la sicurezza sul lavoro e gli adempimenti ambientali. Per ciascuna attività occorre ricostruire chi assume le decisioni, quali poteri esercita, come vengono effettuate le verifiche e se esistano strumenti idonei a documentare le operazioni.

Una società può già disporre di procedure interne, certificazioni e sistemi di controllo che costituiscono una base utile per l’eventuale adozione del Modello 231. Questi strumenti devono però essere esaminati rispetto ai rischi specifici del decreto. Una procedura amministrativa che richiede l’approvazione delle fatture, ad esempio, non necessariamente disciplina i conflitti di interesse nella scelta dei fornitori o le verifiche sui rapporti con intermediari commerciali. Analogamente, un sistema di gestione della sicurezza sul lavoro può contenere controlli rilevanti, ma occorre verificarne l’integrazione con le responsabilità, i protocolli e le attività di vigilanza richiesti dal sistema 231.

Quando la valutazione porta alla decisione di adottare il Modello, l’intervento deve comprendere l’individuazione delle attività sensibili, la predisposizione di protocolli decisionali e operativi, la regolamentazione della gestione delle risorse finanziarie e l’organizzazione dei flussi informativi. Devono essere definiti anche un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure previste e le modalità di formazione e comunicazione delle regole ai soggetti interessati. Il codice etico può integrare questo assetto, ma non sostituisce le procedure specifiche necessarie a presidiare i rischi individuati.

Particolare attenzione richiede l’Organismo di Vigilanza (OdV), al quale l’articolo 6 del D.Lgs. 231/2001 attribuisce il compito di vigilare sul funzionamento e sull’osservanza del Modello e di curarne l’aggiornamento, nell’ambito delle condizioni previste per l’esonero dalla responsabilità. La configurazione dell’organismo deve essere coerente con la struttura societaria e rispettare i requisiti di autonomia e di effettività della funzione di controllo. Nelle realtà di minori dimensioni occorre considerare anche le specifiche previsioni normative relative all’esercizio dei compiti di vigilanza da parte dell’organo dirigente. La scelta non può essere compiuta soltanto in funzione del contenimento dei costi.

La società deve inoltre verificare gli eventuali obblighi in materia di whistleblowing. Il D.Lgs. 24/2023 prevede l’istituzione di canali interni di segnalazione per i soggetti che rientrano nel suo ambito di applicazione, secondo criteri che non coincidono integralmente con quelli relativi all’adozione del Modello 231. Un’azienda può essere tenuta a istituire un canale whistleblowing anche senza avere adottato un Modello 231. Quando entrambi i sistemi sono presenti, è necessario coordinarne procedure, responsabilità e flussi informativi, rispettando la riservatezza delle segnalazioni e le competenze dei soggetti incaricati. Per gli aspetti operativi è possibile consultare il nostro approfondimento sul whistleblowing aziendale e sulla gestione delle segnalazioni.

Il momento in cui l’azienda decide di intervenire può incidere sulle valutazioni giuridiche. Un Modello adottato prima della commissione del reato può assumere rilevanza ai fini delle condizioni di esonero previste dagli articoli 6 e 7, purché sia idoneo ed efficacemente attuato. Se invece il reato è già stato commesso, l’adozione successiva non produce retroattivamente gli stessi effetti, ma può rilevare nell’ambito delle disposizioni sulle condotte riparatorie e sul trattamento sanzionatorio, ricorrendone i presupposti. L’articolo 17 del decreto, in particolare, disciplina condizioni specifiche alle quali le sanzioni interdittive non si applicano, tra cui l’eliminazione delle carenze organizzative mediante l’adozione e l’attuazione di modelli idonei a prevenire reati della specie di quello verificatosi, unitamente agli altri adempimenti richiesti.

Quando l’impresa ha già ricevuto una contestazione oppure è coinvolta in indagini relative a possibili reati presupposto, occorre quindi distinguere gli interventi preventivi da quelli successivi al fatto. La ricostruzione delle attività aziendali, la conservazione della documentazione, la verifica delle deleghe e l’analisi delle procedure esistenti devono essere coordinate con le esigenze difensive. Predisporre rapidamente un Modello 231 senza esaminare il problema che ha originato la contestazione può lasciare irrisolte proprio le carenze organizzative più rilevanti.

La decisione di adottare il Modello può derivare anche da esigenze commerciali. Clienti, committenti e investitori possono richiedere informazioni sull’organizzazione dei controlli interni, sulla prevenzione dei reati o sull’esistenza di un sistema 231. In determinati rapporti contrattuali o procedure di qualificazione possono essere previsti requisiti specifici. Tali richieste devono essere distinte dagli obblighi direttamente imposti dalla legge: l’assenza del Modello 231 non determina automaticamente l’esclusione da qualsiasi gara o rapporto di fornitura. Una verifica preventiva consente di comprendere quali condizioni siano effettivamente applicabili e quali interventi siano necessari per soddisfarle.

Esempio pratico: una società senza Modello 231 che deve verificare la propria esposizione ai rischi

Consideriamo, a titolo di esempio ipotetico, una società manifatturiera di medie dimensioni che opera da molti anni, dispone di procedure amministrative e di un sistema di gestione della sicurezza sul lavoro, ma non ha mai adottato un Modello 231. Durante una verifica richiesta da un importante committente emerge la necessità di documentare le misure adottate per prevenire determinati reati aziendali. La direzione ritiene inizialmente che le certificazioni possedute siano sufficienti, ma non dispone di una valutazione organica dei rischi rilevanti ai sensi del decreto.

L’intervento professionale consisterebbe nell’esaminare la struttura societaria, le deleghe, i processi decisionali e le procedure già applicate, verificando in particolare i rapporti con i fornitori, la gestione delle risorse finanziarie e i controlli in materia di sicurezza. L’aspetto più delicato sarebbe distinguere le misure realmente operative dai documenti che descrivono controlli non applicati con continuità. Sulla base delle carenze riscontrate, la società potrebbe definire un percorso di adozione del Modello 231, integrando i presidi esistenti e individuando le responsabilità di attuazione e vigilanza. L’esempio mostra come una valutazione preventiva possa orientare le decisioni aziendali senza presupporre che ogni impresa debba adottare identiche procedure.

Domande frequenti sui rischi per le aziende senza Modello 231

Un’azienda senza Modello 231 può essere sanzionata anche se non ha mai avuto problemi?

La semplice assenza del Modello 231 non determina, di regola, una sanzione ai sensi del D.Lgs. 231/2001. La responsabilità dell’ente presuppone la commissione di uno dei reati previsti dal decreto e la sussistenza delle ulteriori condizioni stabilite dalla legge. Un’azienda che non ha mai ricevuto contestazioni dovrebbe comunque verificare la propria esposizione ai rischi, soprattutto quando svolge attività nelle quali possono verificarsi reati rilevanti ai fini della responsabilità amministrativa degli enti.

Se un dipendente commette un reato, la società risponde anche senza saperlo?

La mancata conoscenza del comportamento illecito da parte degli amministratori non esclude automaticamente la responsabilità dell’ente. Quando il reato è commesso da un soggetto sottoposto alla direzione o vigilanza altrui, l’articolo 7 del D.Lgs. 231/2001 richiede di verificare se la commissione del fatto sia stata resa possibile dall’inosservanza degli obblighi di direzione o vigilanza. Occorre inoltre accertare che il reato rientri tra quelli previsti dal decreto e sia stato commesso nell’interesse o a vantaggio della società.

Le certificazioni ISO e le procedure aziendali possono sostituire il Modello 231?

Le certificazioni e i sistemi di gestione possono contribuire alla prevenzione dei rischi aziendali, ma non equivalgono automaticamente a un Modello 231. La loro rilevanza dipende dai controlli concretamente previsti, dalla corrispondenza con i reati presupposto applicabili e dall’effettiva attuazione delle procedure. Una valutazione professionale permette di individuare quali presidi esistenti possano essere integrati nel sistema 231 e quali misure debbano essere predisposte.

Un’azienda può adottare il Modello 231 dopo aver ricevuto una contestazione?

Sì. L’adozione successiva alla commissione del reato non produce retroattivamente gli effetti previsti per un Modello già adottato ed efficacemente attuato prima del fatto. Può però assumere rilevanza ai fini del trattamento sanzionatorio e delle condotte riparatorie, alle condizioni previste dal D.Lgs. 231/2001. Quando esiste già un procedimento, è opportuno coordinare l’intervento organizzativo con la strategia difensiva e con la verifica delle carenze che possono avere contribuito alla commissione dell’illecito.

Come può un amministratore capire se la propria società è esposta ai rischi del Decreto 231?

La valutazione richiede l’esame delle attività aziendali, dei reati presupposto pertinenti, delle deleghe, delle procedure decisionali e dei controlli effettivamente applicati. Occorre considerare anche i rapporti con fornitori, intermediari, committenti e pubbliche amministrazioni. Un’analisi preliminare consente di individuare le aree maggiormente esposte e di stabilire se l’adozione di un Modello 231 rappresenti una misura organizzativa appropriata rispetto alle caratteristiche dell’impresa.

Azienda senza Modello 231: richiedi una valutazione dei rischi e delle misure organizzative necessarie

Se la vostra società non ha mai adottato un Modello 231, ha ricevuto richieste di conformità da clienti o committenti oppure deve affrontare una situazione potenzialmente rilevante ai sensi del D.Lgs. 231/2001, è opportuno esaminare la propria esposizione alla responsabilità amministrativa degli enti. La valutazione deve riguardare le attività effettivamente svolte, i controlli già presenti e le eventuali carenze organizzative, distinguendo gli obblighi applicabili dalle misure preventive che possono essere adottate in funzione dei rischi.

Lo Studio Legale Calvello assiste le imprese nell’analisi dei rischi 231, nella valutazione delle misure organizzative esistenti e nella predisposizione di interventi coerenti con la struttura aziendale. Per sottoporre la situazione della vostra società allo Studio, potete richiedere una valutazione sul Modello 231 attraverso il modulo dedicato, descrivendo le attività svolte e le problematiche riscontrate. La richiesta sarà esaminata per individuare le esigenze di assistenza e le possibili modalità di intervento.