Articolo a cura di: Redazione - Studio Legale Calvello

Un Modello 231 adottato correttamente può perdere nel tempo la propria adeguatezza se cambiano le norme, l’organizzazione aziendale o i rischi connessi alle attività svolte. Per questo l’aggiornamento del Modello 231 non deve essere considerato un semplice adempimento documentale: occorre verificare se le misure di prevenzione continuino a rispondere ai rischi effettivi dell’impresa e se i controlli previsti siano concretamente applicati.

Il D.Lgs. 231/2001 non stabilisce una scadenza generale, uguale per tutte le società, entro la quale revisionare il modello. Prevede però che il sistema organizzativo sia efficace, attuato e sottoposto alle verifiche necessarie, anche in presenza di violazioni significative o cambiamenti dell’organizzazione e dell’attività. Quando emergono nuove esposizioni al rischio, procedure inadeguate o modifiche normative rilevanti, gli amministratori devono valutare tempestivamente gli interventi necessari. Un Modello 231 formalmente esistente, ma non più coerente con la realtà aziendale, può risultare insufficiente proprio quando l’impresa deve dimostrare l’adeguatezza della propria organizzazione.

Quando è necessario aggiornare il Modello 231 e quali cambiamenti impongono una verifica

La necessità di aggiornare il Modello di organizzazione, gestione e controllo deriva anzitutto dall’evoluzione dei rischi ai quali l’azienda è esposta. Un’impresa che modifica la propria struttura, introduce nuove lavorazioni, acquisisce altre società o cambia le modalità di gestione dei rapporti commerciali potrebbe trovarsi ad affrontare situazioni che non erano state considerate nella precedente mappatura dei rischi. In questi casi non è sufficiente verificare la data dell’ultima revisione: occorre confrontare il contenuto del modello con i processi aziendali effettivamente esistenti.

Un primo motivo di aggiornamento riguarda le modifiche normative che incidono sui reati presupposto della responsabilità amministrativa degli enti. L’introduzione di nuove fattispecie, la modifica di quelle esistenti o l’evoluzione delle disposizioni applicabili possono richiedere una nuova valutazione delle attività sensibili. Non ogni intervento legislativo comporta automaticamente la riscrittura del modello: è necessario stabilire se la novità normativa interessi concretamente l’attività della società, quali condotte debbano essere prevenute e se i protocolli già adottati siano adeguati.

Un secondo gruppo di situazioni riguarda i cambiamenti interni. La sostituzione degli amministratori, la redistribuzione delle deleghe, l’apertura di nuovi stabilimenti, l’esternalizzazione di processi e l’ingresso in mercati differenti possono modificare responsabilità, poteri decisionali e modalità di controllo. Se il Modello 231 continua a descrivere una struttura organizzativa ormai superata, diventa difficile ricostruire chi debba autorizzare determinate operazioni, quali verifiche siano previste e a chi spettino le attività di vigilanza.

Particolare attenzione richiedono le trasformazioni societarie. Fusioni, acquisizioni, riorganizzazioni di gruppo e integrazioni operative possono comportare la sovrapposizione di procedure differenti oppure l’attribuzione di nuove funzioni a soggetti che in precedenza non le esercitavano. L’aggiornamento deve quindi considerare l’effettiva distribuzione dei poteri, i rapporti tra società e l’eventuale presenza di processi condivisi, evitando che il modello rimanga riferito a un’organizzazione non più esistente.

La revisione può rendersi necessaria anche quando emergono criticità durante l’attività ordinaria. Le verifiche dell’Organismo di Vigilanza, gli audit interni, le segnalazioni di illeciti, le violazioni delle procedure e gli accertamenti delle autorità possono rivelare carenze nei controlli. Un episodio isolato non dimostra necessariamente l’inadeguatezza dell’intero sistema, ma impone di esaminare le cause dell’accaduto e verificare se siano necessarie modifiche ai protocolli, alla formazione o alle responsabilità operative.

La disciplina del whistleblowing rappresenta un esempio concreto di come un cambiamento normativo possa incidere sull’organizzazione dei controlli. Le disposizioni del D.Lgs. 24/2023 richiedono, per i soggetti interessati, un coordinamento tra i canali di segnalazione, le procedure interne e il sistema disciplinare. Per le imprese che hanno adottato un Modello 231, occorre verificare la coerenza delle relative previsioni con la disciplina applicabile e con le modalità effettive di gestione delle segnalazioni. Per gli aspetti operativi rinviamo anche al nostro approfondimento sul whistleblowing aziendale e sugli obblighi di gestione delle segnalazioni.

Non esiste, dunque, un unico evento che determini per tutte le aziende l’obbligo di riscrivere il modello. La questione da affrontare è se le modifiche intervenute abbiano reso necessario adeguare il sistema di prevenzione e se l’azienda sia in grado di documentare le valutazioni effettuate. Questa verifica permette anche di distinguere gli aggiornamenti puntuali, relativi a singoli protocolli, dalle situazioni nelle quali è opportuno procedere a una revisione più estesa.

Ogni quanto deve essere aggiornato il Modello 231: cosa prevede il D.Lgs. 231/2001

Gli articoli 6 e 7 del D.Lgs. 231/2001 costituiscono il principale riferimento per comprendere il rapporto tra aggiornamento del modello ed efficacia del sistema di prevenzione. L’articolo 6, con riferimento ai reati commessi dai soggetti in posizione apicale, contempla l’affidamento a un organismo dotato di autonomi poteri di iniziativa e controllo del compito di vigilare sul funzionamento e sull’osservanza del modello e di curarne l’aggiornamento. L’articolo 7, relativo ai soggetti sottoposti all’altrui direzione o vigilanza, richiama espressamente la verifica periodica e l’eventuale modifica del modello quando siano scoperte significative violazioni delle prescrizioni oppure intervengano mutamenti nell’organizzazione o nell’attività.

La normativa, quindi, non prescrive un aggiornamento obbligatorio ogni dodici mesi o ogni tre anni. Richiede invece un sistema capace di mantenere nel tempo la propria idoneità preventiva. Una revisione annuale può costituire una scelta organizzativa ragionevole per determinate imprese, mentre altre possono prevedere verifiche con diversa periodicità, proporzionate alla complessità delle attività e all’esposizione ai rischi. La programmazione dei controlli non sostituisce comunque l’esigenza di intervenire quando si verificano circostanze che rendono necessaria una valutazione immediata.

Occorre distinguere tre attività che nella pratica vengono frequentemente confuse: la verifica periodica del funzionamento del modello, la valutazione della necessità di modificarlo e l’effettiva approvazione degli aggiornamenti. La prima serve ad accertare se le procedure siano conosciute e rispettate, se i controlli producano evidenze verificabili e se i flussi informativi raggiungano correttamente l’Organismo di Vigilanza. La seconda consiste nell’esaminare le criticità e stabilire se possano essere risolte attraverso interventi operativi oppure richiedano una modifica formale del modello. La terza riguarda l’adozione delle modifiche da parte dell’organo aziendale competente.

Il ruolo dell’Organismo di Vigilanza assume particolare rilievo in questo processo. L’OdV deve poter acquisire informazioni, svolgere verifiche, rilevare eventuali carenze e segnalare agli organi competenti la necessità di intervenire. Il compito di curare l’aggiornamento non coincide, però, con il potere di approvare autonomamente ogni modifica del modello. Nelle società, tale approvazione rientra ordinariamente nelle competenze dell’organo dirigente che ha adottato il sistema organizzativo. È quindi necessario che siano chiaramente disciplinati i rapporti tra OdV, amministratori e funzioni aziendali incaricate dell’attuazione degli interventi.

Per rendere effettivo il processo, l’azienda dovrebbe disporre di un sistema che consenta di individuare tempestivamente le novità normative pertinenti, raccogliere le segnalazioni provenienti dalle funzioni interne e registrare le modifiche organizzative. Le informazioni devono essere valutate rispetto ai rischi già mappati, così da stabilire se siano necessari nuovi controlli, modifiche delle procedure oppure un approfondimento del risk assessment. Anche la decisione di non modificare il modello, quando fondata su una verifica concreta, può essere opportunamente documentata.

Un altro aspetto riguarda il coordinamento tra la versione aggiornata del Modello 231 e la sua effettiva applicazione. L’approvazione di nuovi protocolli non esaurisce l’intervento: le funzioni interessate devono ricevere istruzioni coerenti, i soggetti responsabili devono conoscere i propri compiti e i controlli modificati devono entrare nel funzionamento ordinario dell’impresa. Quando le novità incidono sulle attività sensibili, può rendersi necessario aggiornare anche la formazione del personale e le modalità di raccolta delle evidenze documentali.

Per le aziende che dispongono già di un sistema organizzativo strutturato, l’aggiornamento dovrebbe inserirsi nel normale processo di gestione dei rischi, evitando revisioni puramente formali. Quando invece il modello è stato adottato da tempo senza successive verifiche, occorre anzitutto ricostruire le modifiche normative e aziendali intervenute, distinguendo le carenze documentali dai problemi di effettiva attuazione. Su questo specifico aspetto abbiamo approfondito cosa deve fare un’azienda quando il Modello 231 non viene aggiornato da anni.

Responsabilità degli amministratori e rischi di un Modello 231 non aggiornato

Il mancato aggiornamento del Modello 231 assume particolare rilievo quando le carenze organizzative riguardano attività nelle quali può essere commesso uno dei reati presupposto previsti dal D.Lgs. 231/2001. La responsabilità amministrativa dell’ente non deriva automaticamente dall’assenza di una revisione periodica, ma dalla sussistenza dei presupposti stabiliti dalla normativa, tra cui la commissione di un reato rilevante nell’interesse o a vantaggio dell’ente e le condizioni previste per l’imputazione della responsabilità alla società. In questo contesto, l’inadeguatezza del modello rispetto ai rischi effettivamente presenti nell’organizzazione può incidere sulla valutazione della sua idoneità preventiva e della sua efficace attuazione.

Gli amministratori devono prestare attenzione soprattutto alle situazioni nelle quali il sistema di controllo continua a fare riferimento a procedure, funzioni o attività ormai modificate. Si pensi a una società che abbia ampliato la produzione, acquisito nuovi stabilimenti o affidato a soggetti esterni operazioni precedentemente gestite al proprio interno, senza verificare se tali cambiamenti abbiano introdotto ulteriori rischi di commissione di reati. In una situazione simile, l’esistenza di un Modello 231 approvato anni prima non consente, da sola, di dimostrare che l’impresa abbia mantenuto un’organizzazione adeguata.

La valutazione riguarda anche il comportamento degli organi societari. Il consiglio di amministrazione, nell’ambito delle proprie competenze, deve assicurare che il modello sia coerente con l’attività svolta e che le segnalazioni relative a eventuali carenze vengano esaminate. L’Organismo di Vigilanza, a sua volta, deve esercitare i poteri di controllo attribuiti e segnalare le necessità di aggiornamento. Una relazione dell’OdV che individui criticità rilevanti, rimasta senza un’adeguata valutazione da parte dell’organo dirigente, può assumere particolare importanza nella ricostruzione delle modalità con cui l’azienda ha gestito i rischi conosciuti.

Occorre distinguere la responsabilità dell’ente ai sensi del D.Lgs. 231/2001 dalle eventuali responsabilità personali degli amministratori. Le due questioni rispondono a presupposti giuridici differenti. Il semplice mancato aggiornamento del modello non determina automaticamente una responsabilità personale, ma può concorrere alla valutazione della condotta degli organi societari quando siano contestate specifiche violazioni dei loro doveri. La presenza di deleghe, la conoscenza delle criticità, le informazioni disponibili e le decisioni concretamente assunte costituiscono elementi da esaminare nel singolo caso.

Le conseguenze per la società possono diventare particolarmente rilevanti quando viene contestato un illecito amministrativo dipendente da reato. Il sistema del D.Lgs. 231/2001 contempla, secondo i presupposti e i limiti previsti per le diverse fattispecie, sanzioni pecuniarie, sanzioni interdittive, confisca e pubblicazione della sentenza. Le misure interdittive possono incidere direttamente sulla continuità operativa, anche attraverso limitazioni all’esercizio dell’attività o alla possibilità di contrattare con la pubblica amministrazione. Non si tratta di conseguenze automaticamente applicabili a qualsiasi irregolarità del modello: occorre verificare il reato contestato, le condizioni di responsabilità dell’ente e la disciplina sanzionatoria pertinente.

Quando l’azienda viene coinvolta in un procedimento relativo al D.Lgs. 231/2001, la revisione del modello può assumere anche una funzione correttiva. L’articolo 17 del decreto attribuisce rilievo, alle condizioni previste dalla disposizione, all’eliminazione delle carenze organizzative che hanno determinato il reato mediante l’adozione e l’attuazione di modelli idonei a prevenirne altri della stessa specie. L’intervento successivo al fatto non equivale però a dimostrare retroattivamente che il sistema precedente fosse adeguato, né comporta automaticamente l’esclusione della responsabilità dell’ente.

Per questa ragione, quando emergono violazioni significative, contestazioni o risultati negativi di un audit, riteniamo opportuno procedere a una valutazione documentata delle carenze riscontrate. L’intervento deve individuare quali presidi preventivi non abbiano funzionato, se il problema dipenda dalla formulazione delle procedure oppure dalla loro mancata applicazione e quali modifiche siano effettivamente necessarie. Una revisione limitata alla sostituzione di alcuni documenti, senza incidere sui processi aziendali interessati, rischia di lasciare irrisolte le criticità che hanno reso necessario l’aggiornamento.

La verifica assume rilievo anche nei rapporti con clienti, committenti e partner commerciali che richiedano evidenze sull’adeguatezza del sistema organizzativo. In occasione di una due diligence, di un audit contrattuale o di una procedura di qualificazione dei fornitori, l’impresa potrebbe dover documentare le attività di aggiornamento, le verifiche dell’Organismo di Vigilanza e l’effettiva applicazione delle procedure. Le richieste dei terzi non costituiscono, di per sé, un obbligo generale di aggiornamento previsto dal decreto, ma possono rendere necessario dimostrare in termini concreti come l’organizzazione gestisca i rischi rilevanti.

Esempio pratico: aggiornamento del Modello 231 dopo una riorganizzazione aziendale

Consideriamo, a titolo esemplificativo, una società manifatturiera che abbia adottato un Modello 231 alcuni anni prima e che successivamente abbia ampliato l’attività attraverso l’acquisizione di un nuovo stabilimento. La riorganizzazione ha comportato l’introduzione di ulteriori lavorazioni, la modifica delle deleghe in materia di sicurezza e l’affidamento di alcune attività a fornitori esterni. Il modello originario, pur essendo rimasto formalmente in vigore, continua a descrivere la precedente struttura aziendale e non contempla integralmente i nuovi processi.

Durante una verifica periodica, l’Organismo di Vigilanza rileva che alcune procedure non corrispondono più alle responsabilità effettivamente attribuite e che i flussi informativi relativi al nuovo stabilimento non sono stati disciplinati in modo adeguato. La società deve quindi valutare se le modifiche organizzative abbiano inciso sulle attività sensibili ai fini del D.Lgs. 231/2001 e se i controlli esistenti siano sufficienti rispetto ai rischi concretamente presenti.

Un intervento professionale coerente con questa situazione prevede l’esame del modello vigente, la ricostruzione delle modifiche intervenute, l’aggiornamento della mappatura dei rischi e la verifica dei protocolli interessati. Particolare attenzione deve essere riservata alla corrispondenza tra deleghe, poteri decisionali e responsabilità operative, evitando che le procedure attribuiscano compiti a soggetti che non li esercitano più. Sulla base delle risultanze, l’organo dirigente può approvare gli aggiornamenti necessari, organizzando la successiva comunicazione alle funzioni interessate e le verifiche sulla loro applicazione.

L’esempio mostra perché l’aggiornamento del Modello 231 debba essere commisurato alle trasformazioni effettive dell’impresa. Una modifica organizzativa può richiedere interventi circoscritti oppure una revisione più ampia, a seconda dell’incidenza sui rischi e sull’efficacia dei controlli. Quando le carenze riguardano l’impostazione complessiva del sistema, la questione può richiedere una valutazione differente, come approfondito nel nostro articolo sulla revisione del Modello 231 e sui casi nei quali è necessario rifarlo.

Domande frequenti sull’aggiornamento del Modello 231

Un’azienda deve aggiornare obbligatoriamente il Modello 231 ogni anno?

No. Il D.Lgs. 231/2001 non stabilisce una scadenza annuale generalizzata. La periodicità delle verifiche deve essere coerente con le caratteristiche dell’impresa e con i rischi delle attività svolte. La presenza di modifiche normative rilevanti, cambiamenti organizzativi o violazioni significative può rendere necessario un intervento anche prima della verifica programmata. Eventuali periodicità specifiche possono inoltre derivare dalle procedure adottate dalla società o da particolari impegni applicabili.

Chi deve approvare l’aggiornamento del Modello 231?

L’approvazione delle modifiche compete ordinariamente all’organo dirigente che ha adottato il modello, generalmente il consiglio di amministrazione nelle società amministrate collegialmente. L’Organismo di Vigilanza cura il processo di aggiornamento nell’ambito delle proprie attribuzioni, segnala le carenze e formula le valutazioni di competenza, ma non sostituisce l’organo dirigente nelle decisioni che spettano a quest’ultimo.

Una nuova legge che introduce reati presupposto impone sempre di modificare il Modello 231?

Non necessariamente. Occorre verificare se le nuove fattispecie siano pertinenti alle attività dell’impresa e se i protocolli esistenti siano già idonei a presidiare i relativi rischi. Anche quando non siano necessarie modifiche documentali, è opportuno conservare evidenza della valutazione effettuata e delle ragioni per cui il sistema preventivo è stato ritenuto adeguato.

È sufficiente aggiornare il Modello 231 senza modificare le procedure operative?

No, quando le criticità riscontrate riguardano anche il funzionamento concreto dei controlli. L’aggiornamento deve tradursi, ove necessario, in procedure applicabili, responsabilità chiaramente attribuite, flussi informativi coerenti e formazione del personale interessato. Un documento formalmente aggiornato, ma non attuato, può risultare inadeguato rispetto alla funzione preventiva richiesta dalla normativa.

Quanto costa aggiornare un Modello 231 già esistente?

Il costo dipende dall’estensione dell’intervento. Una modifica circoscritta a singoli protocolli richiede normalmente attività differenti rispetto a una revisione che comprenda una nuova mappatura dei rischi, l’analisi dei processi aziendali e il coordinamento con l’Organismo di Vigilanza. Per formulare un preventivo attendibile occorre esaminare il modello vigente, le modifiche intervenute e la documentazione disponibile, individuando le attività effettivamente necessarie.

Richiedere una valutazione sull’aggiornamento del Modello 231 aziendale

Se la vostra azienda ha adottato un Modello 231 e sono intervenute modifiche normative, organizzative o operative, possiamo esaminare la situazione per individuare gli aggiornamenti eventualmente necessari. La valutazione deve considerare il contenuto del modello esistente, i rischi effettivi dell’attività, le verifiche già svolte e le eventuali criticità segnalate dall’Organismo di Vigilanza.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella valutazione e nell’aggiornamento dei modelli organizzativi ai sensi del D.Lgs. 231/2001, con attenzione alla concreta applicazione dei protocolli e alle responsabilità degli organi aziendali.

Per sottoporre il vostro caso allo Studio, richiedete una valutazione sull’aggiornamento del Modello 231 della vostra azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze di assistenza e le possibili modalità di intervento.