Articolo a cura di: Redazione - Studio Legale Calvello

Un Modello 231 adottato diversi anni fa e mai aggiornato può non essere più adeguato all’organizzazione aziendale, ai processi effettivamente svolti e ai rischi di reato ai quali la società è esposta. Il problema si presenta soprattutto quando l’impresa è cresciuta, ha modificato la propria attività, ha introdotto nuove procedure oppure non ha adeguato il sistema di prevenzione alle successive modifiche normative. In queste circostanze, la presenza formale del Modello 231 non basta a dimostrarne l’idoneità e l’efficace attuazione.

Per l’azienda che possiede un Modello organizzativo 231 non aggiornato da anni, la prima decisione riguarda la necessità di intervenire e l’estensione delle modifiche da apportare. Non esiste una scadenza generale che imponga indistintamente a tutte le imprese di riscrivere il Modello ogni anno o ogni tre anni. Occorre invece verificare se i rischi siano cambiati, se i protocolli siano ancora applicabili e se l’Organismo di Vigilanza abbia potuto esercitare concretamente le proprie funzioni. Quando emergono carenze, un intervento professionale consente di individuare le priorità e predisporre un percorso di adeguamento proporzionato alla situazione della società.

Modello 231 non aggiornato da anni: quando diventa un problema per l’azienda

Il Decreto Legislativo 8 giugno 2001, n. 231 disciplina la responsabilità amministrativa degli enti per determinati reati commessi nel loro interesse o a loro vantaggio da soggetti che rivestono funzioni di rappresentanza, amministrazione o direzione, oppure da persone sottoposte alla direzione o vigilanza di questi ultimi. Il sistema di responsabilità previsto dal decreto attribuisce particolare rilievo all’adozione e all’efficace attuazione di un modello di organizzazione, gestione e controllo idoneo a prevenire i reati della specie di quello verificatosi, secondo i presupposti stabiliti dagli articoli 6 e 7.

Il Modello 231 deve quindi essere costruito sulle caratteristiche effettive dell’impresa. Un documento predisposto quando la società aveva pochi dipendenti, operava in un unico stabilimento e svolgeva attività limitate potrebbe non risultare più adeguato dopo l’apertura di nuove sedi, l’acquisizione di altre imprese, l’ingresso in mercati differenti o la modifica delle responsabilità interne. Lo stesso problema può verificarsi quando cambiano i rapporti con fornitori e subappaltatori, vengono introdotte nuove lavorazioni oppure si modificano le modalità di gestione delle risorse finanziarie.

Il trascorrere del tempo, da solo, non determina automaticamente l’invalidità del Modello 231. Ciò che assume rilievo è la sua persistente idoneità rispetto ai rischi concretamente presenti nell’organizzazione e la possibilità di dimostrarne l’effettiva applicazione. Un modello approvato molti anni prima può conservare elementi ancora adeguati, mentre un documento relativamente recente può presentare lacune se predisposto senza una corretta analisi delle attività aziendali o rimasto estraneo alla gestione quotidiana.

Una delle situazioni più frequenti riguarda le imprese che hanno affidato la predisposizione del Modello 231 a un consulente esterno, lo hanno formalmente approvato e successivamente non hanno organizzato un sistema continuativo di verifica. Il documento rimane conservato negli archivi aziendali, ma nessuno controlla se le procedure siano effettivamente rispettate, se le funzioni indicate corrispondano ancora all’organigramma o se i responsabili dei processi sensibili conoscano gli obblighi loro attribuiti.

In questi casi il problema non consiste soltanto nella mancata revisione documentale. Può emergere una distanza tra il sistema di prevenzione descritto nel Modello e quello realmente funzionante. Ad esempio, una procedura potrebbe prevedere l’autorizzazione di determinate operazioni da parte di un dirigente che non ricopre più quell’incarico, oppure stabilire controlli che non vengono eseguiti e documentati. Se tali carenze interessano attività nelle quali possono essere commessi reati presupposto, la capacità preventiva del sistema organizzativo richiede una valutazione specifica.

Un’altra circostanza da esaminare riguarda l’evoluzione del catalogo dei reati presupposto. Nel corso degli anni il legislatore ha modificato più volte il D.Lgs. 231/2001, introducendo nuove fattispecie e intervenendo su quelle già previste. Una società che non abbia mai verificato l’incidenza di queste modifiche sulla propria attività potrebbe non aver considerato rischi divenuti rilevanti successivamente all’adozione del Modello. Non ogni modifica legislativa impone necessariamente una riscrittura, ma è necessario stabilire se incida sulle attività sensibili e sui relativi presidi di controllo.

La situazione richiede particolare attenzione quando l’impresa ha già ricevuto rilievi dall’Organismo di Vigilanza, ha riscontrato violazioni delle procedure, ha affrontato segnalazioni interne oppure deve presentare la propria documentazione organizzativa a clienti, committenti o potenziali investitori. Un Modello 231 non aggiornato può diventare una criticità concreta anche prima dell’avvio di un procedimento nei confronti dell’ente, soprattutto quando l’azienda non è in grado di documentare le verifiche svolte e le decisioni adottate per mantenere adeguato il proprio sistema di prevenzione.

Come verificare un Modello 231 obsoleto e individuare gli aggiornamenti necessari

Quando un’azienda scopre che il proprio Modello 231 non viene revisionato da anni, il primo intervento dovrebbe consistere in una verifica dell’impianto esistente. Procedere immediatamente alla sostituzione integrale del documento, senza averne esaminato le caratteristiche, rischia di comportare attività inutili e di trascurare le criticità effettive. Occorre partire dalla versione formalmente approvata, ricostruire le eventuali modifiche intervenute nel tempo e confrontare quanto previsto dal Modello con l’attuale organizzazione societaria.

La verifica deve comprendere la parte generale, le parti speciali, il codice etico, il sistema disciplinare, i protocolli di prevenzione e le procedure collegate. È necessario esaminare anche le delibere degli organi societari, l’organigramma, il sistema delle deleghe e procure, la documentazione relativa all’Organismo di Vigilanza e gli eventuali rapporti di audit. Questi elementi permettono di comprendere se il Modello sia stato soltanto adottato formalmente oppure sia stato mantenuto operativo attraverso controlli, aggiornamenti e attività di formazione.

Il passaggio successivo riguarda la revisione della mappatura dei rischi e delle attività sensibili ai fini del D.Lgs. 231/2001. Un risk assessment predisposto anni prima potrebbe non considerare nuovi processi produttivi, diverse modalità di gestione degli appalti, rapporti commerciali modificati o ulteriori responsabilità attribuite ai dirigenti. La valutazione deve individuare le attività nelle quali esiste un rischio pertinente di commissione dei reati presupposto, esaminare i controlli effettivamente presenti e stabilire se siano necessari interventi correttivi.

La revisione non deve essere limitata a un confronto astratto con il catalogo normativo. Per un’impresa manifatturiera, ad esempio, può essere necessario approfondire l’evoluzione dei processi produttivi, della gestione ambientale e delle procedure di salute e sicurezza sul lavoro. Per una società che partecipa ad appalti pubblici assumono rilievo anche i rapporti con la pubblica amministrazione, le modalità di selezione dei fornitori e i controlli sulle operazioni economiche. La selezione delle aree da approfondire deve dipendere dalle attività realmente svolte e non da un elenco standard di rischi applicato indistintamente a qualsiasi azienda.

Particolare attenzione merita il rapporto tra il Modello 231 e il sistema delle deleghe aziendali. Se le responsabilità sono state redistribuite, i protocolli devono essere verificati rispetto ai nuovi poteri decisionali, ai livelli autorizzativi e alle modalità di controllo. Una procedura che attribuisce compiti a soggetti non più presenti nell’organizzazione può risultare difficilmente applicabile. Analogamente, l’assenza di una chiara separazione tra chi autorizza un’operazione, chi la esegue e chi ne controlla la regolarità può richiedere un riesame dei presidi preventivi.

La verifica deve interessare anche l’Organismo di Vigilanza, al quale l’articolo 6 del D.Lgs. 231/2001 attribuisce compiti di vigilanza sul funzionamento e sull’osservanza del Modello e di cura del suo aggiornamento. Quest’ultima funzione comprende l’impulso e la promozione delle modifiche necessarie, mentre l’adozione e l’approvazione degli aggiornamenti spettano all’organo dirigente competente. Occorre pertanto esaminare se l’OdV abbia ricevuto flussi informativi adeguati, effettuato verifiche, formulato eventuali rilievi e segnalato agli organi societari le esigenze di intervento.

Un Modello predisposto prima dell’entrata in vigore della disciplina sul whistleblowing introdotta dal D.Lgs. 24/2023 richiede inoltre una verifica del coordinamento con il sistema di segnalazione interna. Per gli enti che adottano modelli organizzativi ai sensi del D.Lgs. 231/2001, l’articolo 6, comma 2-bis, prevede specifici contenuti relativi ai canali di segnalazione interna, al divieto di ritorsione e al sistema disciplinare, secondo la disciplina applicabile. È quindi necessario controllare la coerenza tra il Modello, le procedure di segnalazione, i soggetti incaricati della gestione e i flussi informativi destinati all’Organismo di Vigilanza. Per gli aspetti relativi alla gestione delle segnalazioni, abbiamo approfondito gli obblighi e i rischi del whistleblowing aziendale.

Al termine dell’analisi, l’azienda dovrebbe disporre di una valutazione documentata delle carenze riscontrate, distinguendo gli interventi urgenti dalle modifiche che possono essere programmate. L’attività può richiedere un aggiornamento circoscritto di alcune parti speciali, una revisione dei protocolli, una nuova mappatura dei rischi oppure, quando l’impianto originario risulta complessivamente inadeguato, una rielaborazione più estesa del sistema organizzativo. La scelta deve essere motivata dalle condizioni effettive dell’impresa e accompagnata dalla definizione delle responsabilità, delle modalità di attuazione e dei successivi controlli.

Responsabilità, sanzioni e interventi necessari quando il Modello 231 non è più adeguato

La mancata revisione del Modello 231 non comporta automaticamente una sanzione per l’azienda. Il D.Lgs. 231/2001 collega la responsabilità dell’ente alla commissione di specifici reati presupposto, nelle condizioni previste dalla legge, e attribuisce rilievo all’idoneità e all’efficace attuazione del sistema organizzativo. Il rischio concreto nasce quando un Modello obsoleto non è più in grado di presidiare adeguatamente le attività nelle quali può verificarsi un illecito rilevante ai sensi del decreto.

Gli articoli 6 e 7 del D.Lgs. 231/2001 distinguono la posizione dei soggetti che esercitano funzioni apicali da quella delle persone sottoposte alla loro direzione o vigilanza. Nel primo caso, la disciplina prevede specifiche condizioni per l’esclusione della responsabilità dell’ente, tra cui l’adozione e l’efficace attuazione, prima della commissione del fatto, di un modello idoneo a prevenire reati della specie di quello verificatosi. Nel secondo caso assume rilievo l’eventuale inosservanza degli obblighi di direzione o vigilanza, con le precisazioni stabilite dall’articolo 7. La semplice esistenza di un documento approvato anni prima non permette quindi di considerare automaticamente soddisfatti tali requisiti.

Quando viene contestato un reato presupposto, l’adeguatezza del Modello può essere esaminata anche attraverso la ricostruzione delle procedure concretamente applicate, dei controlli eseguiti, delle attività dell’Organismo di Vigilanza e delle decisioni assunte dagli organi societari. Un sistema rimasto immutato nonostante cambiamenti organizzativi rilevanti può presentare criticità nella valutazione della capacità preventiva. Occorre però distinguere le carenze documentali dalle effettive insufficienze organizzative, verificando la loro rilevanza rispetto al fatto contestato e al quadro normativo applicabile.

Le conseguenze previste dal D.Lgs. 231/2001 possono comprendere sanzioni pecuniarie, sanzioni interdittive nei casi stabiliti dalla legge, confisca e pubblicazione della sentenza. Le misure interdittive possono incidere direttamente sull’operatività aziendale, ma la loro applicazione richiede specifici presupposti normativi. Non è corretto affermare che un Modello 231 non aggiornato determini necessariamente una responsabilità dell’ente o l’applicazione di sanzioni. L’assenza di verifiche periodiche costituisce piuttosto un elemento da esaminare nella valutazione complessiva dell’organizzazione e delle misure preventive adottate.

La posizione degli amministratori richiede un’analisi distinta. L’organo dirigente è responsabile delle decisioni relative all’adozione e all’aggiornamento del Modello organizzativo, mentre l’Organismo di Vigilanza esercita le funzioni di controllo attribuitegli dalla legge e dal sistema aziendale. La mancata considerazione di criticità conosciute, soprattutto quando siano state formalmente segnalate, può assumere rilievo nella valutazione dei doveri gestori e delle eventuali responsabilità, secondo i presupposti applicabili al caso concreto. Non esiste però un’automatica responsabilità personale degli amministratori per il solo fatto che il Modello non sia stato revisionato per un determinato numero di anni.

Quando emergono carenze, l’intervento dovrebbe partire dalla loro classificazione in base alla natura del rischio, alla gravità delle insufficienze e alla possibilità che le attività interessate espongano concretamente la società alla commissione di reati presupposto. Le anomalie relative ai processi maggiormente esposti possono richiedere misure organizzative immediate, anche prima dell’approvazione della versione aggiornata del Modello. Altre modifiche possono essere inserite in un programma di adeguamento che individui responsabili, tempi di attuazione e modalità di verifica.

La revisione deve essere accompagnata da un percorso formale di approvazione da parte dell’organo competente e dall’effettiva applicazione delle procedure aggiornate. Può essere necessario modificare il sistema delle deleghe, ridefinire alcuni controlli, aggiornare il codice etico e il sistema disciplinare oppure riorganizzare i flussi informativi destinati all’Organismo di Vigilanza. La formazione dei dipendenti e dei dirigenti interessati deve essere coerente con le nuove responsabilità attribuite, evitando che le modifiche rimangano limitate alla documentazione.

Un ulteriore aspetto riguarda la tracciabilità degli interventi. L’azienda dovrebbe conservare la documentazione relativa alle verifiche effettuate, alle criticità individuate, alle decisioni adottate e ai controlli successivi. Verbali, rapporti di audit, delibere, registrazioni delle attività formative e documentazione delle verifiche possono contribuire a ricostruire il funzionamento del sistema preventivo. Questa attività non sostituisce l’effettiva attuazione del Modello, ma permette di dimostrare quali iniziative siano state concretamente intraprese.

Se l’impresa è già coinvolta in un’indagine o in un procedimento relativo al D.Lgs. 231/2001, la revisione richiede particolare cautela. Gli interventi successivi alla commissione del fatto devono essere distinti dalle misure esistenti al momento dell’illecito. Il decreto attribuisce, in determinate condizioni, specifica rilevanza alle iniziative riparatorie e all’adozione o attuazione di modelli idonei dopo il fatto, anche ai fini della disciplina delle sanzioni interdittive. Un aggiornamento tardivo non rende però retroattivamente efficace il sistema organizzativo precedente. In queste circostanze è opportuno coordinare l’attività di adeguamento con la valutazione della posizione processuale dell’ente.

Un’azienda con un Modello 231 fermo da anni: esempio pratico di revisione

Consideriamo, a titolo esemplificativo, una società manifatturiera che abbia adottato un Modello 231 diversi anni prima, quando disponeva di un solo stabilimento e di una struttura organizzativa relativamente semplice. Nel frattempo l’impresa ha ampliato la produzione, aperto una seconda sede e modificato le responsabilità dei dirigenti. Il Modello originario è rimasto formalmente in vigore, ma le procedure non sono state adeguate alle nuove attività e la mappatura dei rischi continua a descrivere l’organizzazione precedente.

Durante una verifica emerge che alcune funzioni indicate nei protocolli non esistono più, i flussi informativi verso l’Organismo di Vigilanza non comprendono determinati processi introdotti successivamente e la documentazione relativa ai controlli è incompleta. La revisione richiede quindi di ricostruire l’attuale organizzazione, esaminare i rischi connessi alle attività effettivamente svolte e individuare le procedure da modificare. Particolare attenzione viene riservata ai processi produttivi, alla gestione dei fornitori e alle responsabilità in materia di sicurezza sul lavoro.

In una situazione di questo tipo, l’intervento professionale può essere organizzato attraverso un audit preliminare, l’aggiornamento del risk assessment, la revisione delle parti del Modello interessate dai cambiamenti e la predisposizione di un programma di attuazione. L’organo dirigente valuta e approva le modifiche di propria competenza, mentre l’Organismo di Vigilanza prosegue le verifiche sul funzionamento del sistema. L’esempio mostra come un Modello 231 non aggiornato da anni richieda anzitutto una valutazione dell’organizzazione reale dell’impresa, prima di stabilire se siano sufficienti interventi mirati oppure occorra una revisione più estesa.

Domande frequenti sul Modello 231 non aggiornato

Un Modello 231 non aggiornato da cinque o dieci anni è ancora valido?

Il trascorrere del tempo non determina automaticamente l’invalidità del Modello 231. Occorre verificare se il documento sia ancora idoneo rispetto ai rischi aziendali, se le procedure siano effettivamente applicate e se siano intervenute modifiche normative o organizzative che richiedono un adeguamento. Anche un Modello risalente può conservare parti utilizzabili, ma l’assenza prolungata di verifiche rende opportuno un controllo documentato.

È possibile aggiornare il Modello 231 senza sostituirlo completamente?

Sì. Quando l’impianto originario risulta ancora adeguato nelle sue componenti essenziali, può essere sufficiente intervenire sulle parti speciali, sulla mappatura dei rischi o su determinati protocolli. Se invece emergono carenze diffuse nella struttura del sistema preventivo, può essere necessaria una revisione complessiva. La scelta dipende dall’esito dell’audit e dalle caratteristiche dell’impresa.

Chi deve decidere l’aggiornamento del Modello 231?

L’adozione e l’approvazione delle modifiche competono all’organo dirigente. L’Organismo di Vigilanza svolge le proprie funzioni di controllo e cura dell’aggiornamento, anche attraverso la segnalazione delle criticità e la promozione degli interventi necessari. Le attività tecniche di analisi e revisione possono essere affidate a professionisti esterni, senza trasferire loro le responsabilità decisionali degli organi societari.

Quanto costa aggiornare un Modello 231 già esistente?

Il costo dipende dalle dimensioni dell’impresa, dal numero di processi da esaminare, dalle modifiche normative e organizzative intervenute e dalle condizioni della documentazione esistente. Un aggiornamento limitato ad alcune procedure comporta un’attività diversa rispetto alla revisione completa della mappatura dei rischi e delle parti speciali. Per formulare un preventivo attendibile è quindi opportuno esaminare preliminarmente il Modello adottato e individuare le attività effettivamente necessarie.

Un aggiornamento effettuato dopo una contestazione può evitare le sanzioni 231?

Non automaticamente. Gli interventi successivi alla commissione del reato non rendono retroattivamente idoneo ed efficacemente attuato il Modello precedentemente esistente. Il D.Lgs. 231/2001 riconosce però, in presenza di specifiche condizioni, rilevanza alle misure riparatorie e organizzative adottate dopo il fatto, anche ai fini del trattamento sanzionatorio. La loro efficacia deve essere valutata rispetto alla contestazione e alla fase del procedimento.

Modello 231 non aggiornato: richiedi una valutazione legale per la tua azienda

Se la vostra azienda ha adottato un Modello 231 diversi anni fa e non ha più effettuato verifiche o aggiornamenti, possiamo esaminare la documentazione esistente, valutare le modifiche normative e organizzative intervenute e individuare le eventuali carenze del sistema di prevenzione. L’attività può riguardare la revisione della mappatura dei rischi, l’adeguamento dei protocolli, il coordinamento con l’Organismo di Vigilanza e la verifica dell’effettiva applicazione delle procedure.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione delle problematiche giuridiche e organizzative connesse al D.Lgs. 231/2001. L’estensione degli interventi viene definita sulla base delle caratteristiche dell’azienda, dei rischi concretamente rilevanti e dello stato del Modello già adottato.

Per sottoporre la situazione della vostra società allo Studio, richiedete una valutazione del Modello 231 aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le possibili attività di verifica, aggiornamento o revisione e ricontatteremo l’azienda per gli eventuali approfondimenti.