Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che ha già adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 non può presumere che il documento sia ancora adeguato soltanto perché è stato regolarmente approvato e non ha subito modifiche. Nel tempo possono cambiare l’organizzazione societaria, le attività svolte, i processi decisionali, i rischi di reato e la normativa applicabile. Anche un modello originariamente ben costruito può perdere efficacia se i controlli previsti non vengono eseguiti o non corrispondono più al funzionamento dell’impresa.

Verificare l’adeguatezza di un Modello 231 esistente significa accertare se il sistema di prevenzione sia ancora idoneo rispetto ai rischi aziendali e venga concretamente attuato. La verifica interessa gli amministratori, i responsabili delle funzioni aziendali e l’Organismo di Vigilanza, soprattutto quando sono intervenuti cambiamenti organizzativi, sono emerse irregolarità oppure occorre dimostrare a clienti, investitori o autorità l’effettività dei presidi adottati. Nei casi più complessi può essere opportuno affidare a un professionista esterno un audit indipendente, per individuare le eventuali carenze e stabilire quali interventi siano necessari.

Come capire se il Modello 231 adottato dall’azienda è ancora adeguato

Il primo elemento da considerare è la corrispondenza tra il Modello 231 e la situazione attuale dell’impresa. Un documento predisposto alcuni anni prima potrebbe descrivere una struttura organizzativa ormai superata, attribuire responsabilità a funzioni che non esistono più oppure disciplinare processi operativi modificati nel frattempo. In queste condizioni, anche procedure formalmente corrette rischiano di non essere applicabili o di lasciare prive di controllo attività nelle quali possono verificarsi reati rilevanti ai sensi del D.Lgs. 231/2001.

Per questo motivo, quando esaminiamo un Modello 231 già esistente, partiamo dalla ricostruzione dell’organizzazione effettiva. Occorre confrontare organigramma, deleghe, procure, responsabilità operative, flussi autorizzativi e attività aziendali con quanto previsto dal modello. Una particolare attenzione deve essere riservata ai cambiamenti intervenuti dopo l’adozione, come l’ingresso in nuovi mercati, l’acquisizione di società, l’esternalizzazione di processi, l’apertura di stabilimenti o la modifica dei rapporti con fornitori e pubbliche amministrazioni.

La verifica non riguarda soltanto la struttura documentale. Un modello può risultare aggiornato nella forma ma presentare carenze nell’attuazione. Si pensi a procedure che prevedono autorizzazioni preventive mai richieste, controlli affidati a responsabili privi di informazioni sufficienti oppure obblighi di comunicazione all’Organismo di Vigilanza rimasti sostanzialmente inapplicati. In queste situazioni il problema non consiste necessariamente nella mancanza di regole, ma nella distanza tra le regole scritte e le prassi aziendali.

Un Modello 231 adeguato deve essere costruito sui rischi specifici dell’ente, prevedere misure preventive coerenti e trovare effettiva applicazione nell’organizzazione. Gli articoli 6 e 7 del D.Lgs. 231/2001 attribuiscono rilievo all’idoneità e all’efficace attuazione del modello, secondo presupposti differenti in relazione alla posizione del soggetto che ha commesso il reato. La semplice approvazione del documento non costituisce quindi una protezione automatica dalla responsabilità amministrativa dell’ente.

Un altro indicatore è rappresentato dalla capacità dell’azienda di documentare le attività svolte. Verbali delle verifiche, registrazioni dei controlli, aggiornamenti della mappatura dei rischi, attività formative e interventi correttivi consentono di ricostruire il funzionamento del sistema preventivo. La loro assenza non determina automaticamente l’inidoneità del modello, ma può rendere difficile dimostrare che determinate misure siano state realmente applicate.

La necessità di una verifica può emergere anche senza che si sia verificato un illecito. Richieste di due diligence, controlli dei committenti, operazioni societarie e osservazioni dell’Organismo di Vigilanza possono portare alla luce discrepanze tra il documento adottato e l’organizzazione attuale. In tali circostanze, un check-up del Modello 231 permette di distinguere le carenze documentali dalle criticità che incidono realmente sulla prevenzione dei reati, evitando di intervenire indiscriminatamente su parti del sistema ancora adeguate.

Audit del Modello 231: quali documenti, rischi e controlli devono essere verificati

La verifica professionale di un Modello 231 richiede un esame coordinato della documentazione e delle attività concretamente svolte. Non è sufficiente controllare che il documento contenga una parte generale, una parte speciale e un codice etico. Occorre accertare se le attività sensibili siano state individuate correttamente, se i rischi siano stati valutati sulla base dell’organizzazione attuale e se i protocolli adottati siano effettivamente capaci di presidiare le modalità attraverso le quali potrebbero essere commessi i reati presupposto.

Un passaggio centrale riguarda il risk assessment 231. La mappatura dei rischi originaria deve essere confrontata con le attività effettivamente esercitate, le modifiche normative intervenute e le eventuali anomalie riscontrate nei processi aziendali. L’introduzione di nuovi reati presupposto non comporta necessariamente la riscrittura integrale del modello: richiede una valutazione della loro concreta pertinenza rispetto all’attività dell’impresa e, quando necessario, l’adeguamento dei protocolli di prevenzione.

Consideriamo, ad esempio, una società che abbia modificato le proprie procedure di acquisto, ampliato i rapporti con intermediari commerciali oppure introdotto nuove modalità di gestione delle risorse finanziarie. La mappatura precedente potrebbe non rappresentare più correttamente le occasioni di rischio. L’audit deve allora ricostruire i processi, individuare le decisioni maggiormente esposte e verificare l’esistenza di controlli proporzionati, come separazione delle funzioni, autorizzazioni, verifiche documentali e tracciabilità delle operazioni.

Il controllo deve estendersi al sistema delle deleghe e delle procure, al codice etico, al sistema disciplinare e alle procedure operative richiamate dal modello. Particolare attenzione merita la coerenza tra poteri formalmente attribuiti e responsabilità effettivamente esercitate. Se una funzione aziendale assume decisioni rilevanti senza adeguati controlli, oppure se i poteri autorizzativi risultano concentrati in modo non coerente con i rischi individuati, può essere necessario modificare i protocolli organizzativi.

Un ulteriore profilo riguarda l’Organismo di Vigilanza. Ai fini dell’articolo 6 del D.Lgs. 231/2001, occorre verificare l’adeguatezza dei poteri di iniziativa e controllo, l’autonomia dell’organismo e l’effettivo svolgimento dell’attività di vigilanza. Devono essere esaminati il piano delle verifiche, i verbali, le relazioni periodiche, le informazioni ricevute dalle funzioni aziendali e il seguito dato alle criticità rilevate. L’OdV vigila sul funzionamento e sull’osservanza del modello e ne cura l’aggiornamento sotto il profilo dell’impulso e della verifica, mentre le decisioni sulle modifiche organizzative e sull’adozione degli interventi necessari competono agli organi aziendali competenti.

Nel controllo dell’adeguatezza assume rilievo anche il coordinamento con il sistema di whistleblowing aziendale. Per gli enti rientranti nell’ambito applicativo del D.Lgs. 24/2023, occorre verificare la coerenza del Modello 231 con i canali interni di segnalazione, le procedure di gestione, le garanzie di riservatezza e il sistema disciplinare. Quando il gestore delle segnalazioni è distinto dall’OdV, devono essere valutati anche i flussi informativi compatibili con la tutela del segnalante e con le rispettive competenze.

L’audit deve infine accertare se il personale conosca le procedure applicabili alle proprie mansioni e se l’azienda abbia organizzato una formazione adeguata ai rischi delle diverse funzioni. La presenza di registri formativi o attestati di partecipazione costituisce un elemento documentale, ma non sostituisce la verifica dell’effettiva comprensione e applicazione delle regole. Analogamente, eventuali violazioni, anomalie o segnalazioni interne devono essere esaminate per comprendere se rappresentino episodi isolati oppure indichino una debolezza strutturale del sistema di prevenzione.

Il risultato della verifica dovrebbe consentire all’impresa di individuare con precisione le carenze riscontrate, distinguere gli interventi urgenti da quelli programmabili e attribuire responsabilità e tempi di attuazione. È su questa valutazione che si fonda la scelta tra correzioni circoscritte, aggiornamento delle singole procedure e revisione più ampia del Modello 231, tenendo conto anche delle possibili conseguenze per l’ente qualora si verifichi un reato presupposto.

Modello 231 inadeguato: responsabilità dell’azienda e interventi necessari dopo la verifica

Quando l’audit evidenzia carenze nel Modello 231, l’azienda deve valutare quali conseguenze possano derivarne e come intervenire. Non tutte le irregolarità hanno lo stesso peso: un riferimento organizzativo superato, una procedura incompleta e l’assenza di controlli su un’attività esposta a reati presupposto richiedono valutazioni differenti. La priorità deve essere attribuita alle criticità che incidono concretamente sulla capacità del sistema di prevenire i reati rilevanti ai sensi del D.Lgs. 231/2001.

La disciplina della responsabilità amministrativa degli enti non prevede una sanzione automatica per il semplice fatto che un Modello 231 non sia stato aggiornato. La responsabilità dell’ente presuppone, tra gli altri elementi previsti dalla legge, la commissione di un reato compreso nel catalogo del decreto, nell’interesse o a vantaggio dell’ente, da parte di un soggetto qualificato ai sensi dell’articolo 5. L’inadeguatezza del modello può assumere rilievo nella valutazione dei presupposti della responsabilità e delle condizioni previste per l’esclusione della stessa.

Il rischio maggiore si presenta quando le carenze organizzative riguardano proprio il processo aziendale nel quale si verifica il reato contestato. Se, ad esempio, una società ha adottato procedure per prevenire condotte corruttive, ma nella pratica consente a determinati dirigenti di autorizzare pagamenti a intermediari senza verifiche documentali o controlli indipendenti, occorre valutare se il modello fosse realmente idoneo e concretamente attuato. La presenza di una procedura scritta non è sufficiente a dimostrare l’efficacia del presidio preventivo.

La valutazione deve distinguere la posizione dei soggetti apicali da quella delle persone sottoposte alla loro direzione o vigilanza. Gli articoli 6 e 7 del D.Lgs. 231/2001 disciplinano infatti condizioni differenti, attribuendo rilievo all’adozione e all’efficace attuazione dei modelli organizzativi, alla vigilanza e, nei casi previsti, all’elusione fraudolenta del modello. Per questa ragione, un audit sull’adeguatezza del Modello 231 deve considerare anche il sistema delle responsabilità interne e le modalità attraverso le quali vengono esercitati i poteri di controllo.

Quando vengono riscontrate criticità, non è sempre necessario predisporre un nuovo modello. Se la mappatura dei rischi rimane sostanzialmente corretta e le carenze riguardano singoli protocolli, può essere sufficiente intervenire sulle procedure interessate, modificare i flussi autorizzativi o rafforzare i controlli. Quando invece il documento non rappresenta più l’organizzazione aziendale, trascura intere aree di rischio oppure presenta un sistema preventivo strutturalmente insufficiente, può rendersi necessaria una revisione più estesa. La distinzione tra aggiornamento circoscritto e rifacimento del modello richiede un esame delle criticità effettivamente riscontrate, come approfondiamo anche nell’articolo dedicato alla revisione del Modello 231 e ai casi nei quali è necessario rifarlo.

Gli interventi correttivi devono essere accompagnati da decisioni organizzative effettive. Modificare un protocollo senza individuare chi debba applicarlo, quali verifiche debbano essere eseguite e come documentarne l’esecuzione rischia di lasciare irrisolta la criticità originaria. È quindi opportuno predisporre un piano che individui le misure da adottare, le funzioni responsabili, le priorità e le successive attività di controllo. L’Organismo di Vigilanza deve poter ricevere le informazioni necessarie per verificare il seguito dato alle osservazioni formulate, nel rispetto delle competenze degli organi societari.

Una particolare attenzione è necessaria quando l’inadeguatezza emerge dopo un illecito, un’indagine interna o una contestazione dell’autorità giudiziaria. In questi casi occorre distinguere la ricostruzione dell’efficacia del modello al momento dei fatti dalle modifiche introdotte successivamente. Un aggiornamento effettuato dopo la commissione del reato non dimostra retroattivamente l’idoneità del sistema precedente. Gli interventi successivi possono comunque assumere rilievo nei termini e alle condizioni previsti dal D.Lgs. 231/2001, anche rispetto alle conseguenze sanzionatorie. La loro valutazione richiede un esame della specifica situazione processuale e delle misure concretamente adottate.

Per le imprese che hanno già un modello organizzativo, la verifica periodica costituisce quindi uno strumento per individuare tempestivamente le debolezze del sistema e programmare interventi proporzionati. Non esiste una scadenza generale identica per tutte le aziende entro la quale il Modello 231 debba essere integralmente riscritto. La frequenza e l’ampiezza dei controlli devono essere commisurate ai rischi, alla complessità organizzativa, alle modifiche normative e agli eventi che possono incidere sull’efficacia dei presidi esistenti.

Un esempio pratico: la verifica del Modello 231 dopo una riorganizzazione aziendale

Consideriamo, a titolo esemplificativo, una società manifatturiera che abbia adottato un Modello 231 alcuni anni prima e che, successivamente, abbia ampliato la produzione, modificato la struttura degli acquisti e affidato a soggetti esterni alcune attività operative. Il modello risulta formalmente approvato, l’Organismo di Vigilanza è stato nominato e sono presenti procedure interne, ma la direzione aziendale non ha mai effettuato una verifica complessiva della loro corrispondenza alla nuova organizzazione.

In una situazione di questo tipo, l’attività di audit dovrebbe partire dall’esame del modello esistente e dal confronto con i responsabili delle funzioni interessate. La verifica potrebbe far emergere che alcune autorizzazioni siano ancora attribuite a figure non più presenti, che determinati fornitori non siano sottoposti ai controlli originariamente previsti oppure che i flussi informativi verso l’OdV non comprendano attività introdotte dopo la riorganizzazione.

L’aspetto più delicato consisterebbe nel distinguere le difformità meramente documentali dalle carenze capaci di incidere sulla prevenzione dei reati. Una volta individuati i processi interessati, l’azienda potrebbe procedere all’aggiornamento della mappatura dei rischi, alla revisione dei protocolli e alla definizione di nuove responsabilità operative, sottoponendo le modifiche agli organi competenti e programmando verifiche sulla loro applicazione.

L’esempio mostra perché la valutazione dell’adeguatezza non possa esaurirsi nella lettura del documento. Il punto da accertare è se le misure preventive continuino a funzionare nell’impresa così come è organizzata oggi, e quali modifiche siano necessarie per mantenere coerente il Modello 231 con le attività effettivamente svolte.

Domande frequenti sulla verifica di adeguatezza del Modello 231

Un Modello 231 già adottato deve essere verificato ogni anno?

Il D.Lgs. 231/2001 non stabilisce una scadenza annuale generalizzata per la revisione integrale del modello. L’articolo 7, comma 4, richiede verifiche periodiche e l’eventuale modifica del modello quando siano scoperte violazioni significative delle prescrizioni oppure intervengano mutamenti nell’organizzazione o nell’attività. La frequenza dei controlli deve essere definita considerando le caratteristiche dell’impresa, i rischi individuati e il programma di vigilanza. Un audit annuale può essere opportuno, ma non sostituisce gli interventi necessari quando emergono criticità specifiche.

Chi può verificare se il Modello 231 aziendale è ancora adeguato?

L’Organismo di Vigilanza svolge le funzioni di vigilanza sul funzionamento e sull’osservanza del modello e ne cura l’aggiornamento nei termini previsti dall’articolo 6 del D.Lgs. 231/2001. L’azienda può affidare a un avvocato o a un consulente specializzato una verifica indipendente della documentazione, della mappatura dei rischi e dei protocolli. L’incarico esterno non sostituisce le competenze dell’OdV né le responsabilità degli organi societari nell’adozione delle modifiche necessarie.

Se il Modello 231 è stato predisposto correttamente, può diventare inadeguato?

Sì. L’idoneità deve essere valutata rispetto all’organizzazione e ai rischi concretamente presenti nell’impresa. Modifiche dei processi, nuove attività, cambiamenti normativi o mancata applicazione delle procedure possono incidere sull’efficacia di un modello originariamente adeguato. La verifica deve accertare quali cambiamenti siano rilevanti e se richiedano interventi documentali oppure organizzativi.

È necessario sostituire il Modello 231 quando l’audit rileva delle carenze?

Non necessariamente. Se le criticità riguardano singoli protocolli, responsabilità operative o flussi informativi, possono essere sufficienti modifiche mirate. Una revisione complessiva diventa opportuna quando il modello non rappresenta più l’organizzazione aziendale o presenta carenze diffuse nella mappatura dei rischi e nei controlli preventivi. La scelta deve derivare dalle risultanze dell’audit e non dalla sola anzianità del documento.

Quanto costa verificare l’adeguatezza di un Modello 231 esistente?

Il costo dipende dalle dimensioni e dalla complessità dell’impresa, dal numero dei processi da esaminare, dalle sedi coinvolte e dalla qualità della documentazione disponibile. Un controllo documentale circoscritto richiede attività diverse rispetto a un audit che comprenda interviste ai responsabili aziendali, verifica dei controlli, aggiornamento del risk assessment e predisposizione di un piano correttivo. Per formulare un preventivo attendibile occorre quindi definire preliminarmente l’oggetto e l’estensione dell’incarico.

Verifica del Modello 231 aziendale: richiedi una valutazione allo Studio Legale Calvello

Se la vostra società ha già adottato un Modello 231 ma non dispone di una valutazione recente della sua adeguatezza, oppure sono intervenuti cambiamenti organizzativi, rilievi dell’Organismo di Vigilanza o criticità nei controlli interni, possiamo esaminare la situazione e individuare le verifiche professionali necessarie.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione dei rischi giuridici e organizzativi connessi al D.Lgs. 231/2001, nella verifica dei modelli esistenti e nell’individuazione degli eventuali interventi di adeguamento. L’attività viene definita considerando le caratteristiche dell’azienda, la documentazione disponibile e le problematiche concretamente riscontrate.

Per sottoporre il vostro caso allo Studio, richiedete una valutazione del Modello 231 della vostra azienda attraverso il modulo dedicato. Esamineremo la richiesta per valutare la natura dell’intervento e le possibili modalità di assistenza professionale.