Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda può aver adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, aver nominato un Organismo di Vigilanza e aver predisposto procedure interne senza che tali misure siano realmente utilizzate nella gestione quotidiana. Il problema emerge quando i controlli previsti non vengono eseguiti, i dipendenti non conoscono le regole, i dirigenti operano senza rispettare i protocolli oppure le attività di vigilanza rimangono prive di riscontri documentali. In queste circostanze, il Modello 231 predisposto ma non applicato può risultare inefficace proprio quando l’impresa deve dimostrare di aver organizzato un sistema idoneo a prevenire i reati rilevanti.
Gli articoli 6 e 7 del D.Lgs. 231/2001 attribuiscono rilievo alla concreta ed efficace attuazione del modello organizzativo, secondo presupposti differenti in relazione alla posizione del soggetto che ha commesso il reato. La semplice approvazione di un documento da parte dell’organo amministrativo non assicura quindi l’esclusione della responsabilità dell’ente. Quando emergono carenze applicative, violazioni delle procedure o controlli mai effettuati, diventa necessario verificare quali presidi abbiano effettivamente funzionato e quali interventi siano richiesti. Una valutazione professionale può consentire di individuare le criticità prima che assumano rilievo nell’ambito di una contestazione ai sensi del Decreto 231.
Quando il Modello 231 esiste soltanto sulla carta e non viene realmente applicato
La distinzione tra adozione formale ed effettiva attuazione del Modello 231 riguarda il funzionamento concreto dell’organizzazione aziendale. Un modello può essere stato predisposto attraverso una mappatura dei rischi, approvato dal consiglio di amministrazione e corredato di codice etico, protocolli e sistema disciplinare, ma rimanere sostanzialmente estraneo alle decisioni operative. Questo accade, ad esempio, quando le procedure di autorizzazione dei pagamenti vengono sistematicamente ignorate, gli acquisti sono effettuati senza le verifiche previste oppure i responsabili delle funzioni aziendali non documentano i controlli loro affidati.
Il problema non consiste necessariamente nell’assenza di regole scritte. Spesso l’impresa dispone di una documentazione organizzativa apparentemente completa, ma non ha definito responsabilità operative effettive, modalità di verifica e strumenti per rilevare le inosservanze. In altre situazioni, il Modello 231 è stato predisposto da un consulente esterno e successivamente archiviato, senza un adeguato coinvolgimento degli amministratori e delle persone chiamate ad applicarlo. Un modello organizzativo non diventa operativo per il solo fatto di essere stato approvato e distribuito: occorre che le misure previste siano integrate nei processi aziendali e concretamente rispettate.
Una delle criticità più frequenti riguarda la mancata formazione. Se i dipendenti che operano nelle attività esposte al rischio di reato non conoscono i protocolli applicabili, diventa difficile sostenere che tali misure siano state effettivamente introdotte nell’organizzazione. La formazione deve essere coerente con le mansioni e con i rischi delle diverse funzioni. Per chi autorizza pagamenti, gestisce rapporti con la pubblica amministrazione o seleziona fornitori, ad esempio, assumono rilievo istruzioni operative differenti rispetto a quelle destinate al personale che non partecipa a tali processi.
Un’altra situazione ricorrente è quella delle procedure conosciute ma sistematicamente disattese. Se un dirigente può autorizzare operazioni senza rispettare i controlli previsti, oppure se determinate prassi aziendali sono tollerate nonostante contrastino con i protocolli, il sistema preventivo presenta una criticità che non può essere risolta attraverso la sola esistenza del documento. L’efficacia del modello dipende anche dalla capacità dell’organizzazione di rilevare le violazioni, intervenire sulle anomalie e applicare, quando ne ricorrono i presupposti, il sistema disciplinare.
Particolare attenzione richiede il ruolo dell’Organismo di Vigilanza (OdV). La sua nomina costituisce un elemento del sistema previsto dall’articolo 6 del D.Lgs. 231/2001, ma non esaurisce le esigenze di vigilanza. Se l’organismo non riceve i flussi informativi, non svolge le verifiche programmate, non documenta adeguatamente le proprie attività o non segnala le criticità rilevate, occorre esaminare se il presidio di controllo sia concretamente funzionante. Anche la mancata risposta degli organi aziendali alle osservazioni dell’OdV può incidere sulla valutazione dell’effettiva attuazione del modello.
Queste carenze possono rimanere inosservate per anni, soprattutto nelle imprese nelle quali il Modello 231 è considerato un adempimento documentale anziché uno strumento di organizzazione e controllo. La loro rilevanza emerge spesso in occasione di una verifica interna, di una due diligence, di una segnalazione di illecito o dell’avvio di un procedimento relativo a un reato presupposto. È in tali circostanze che diventa necessario distinguere tra un modello correttamente predisposto e un sistema preventivo realmente applicato.
Perché la mancata attuazione può compromettere l’efficacia esimente del Modello 231
Il D.Lgs. 231/2001 disciplina la responsabilità amministrativa degli enti per determinati reati commessi nel loro interesse o a loro vantaggio da soggetti che rivestono funzioni di rappresentanza, amministrazione o direzione, oppure da persone sottoposte alla direzione o vigilanza di tali soggetti. La responsabilità dell’ente non deriva automaticamente dalla commissione di qualsiasi reato all’interno dell’azienda: devono ricorrere i presupposti previsti dalla normativa, compresa l’appartenenza dell’illecito al catalogo dei reati presupposto.
Quando il reato è commesso da un soggetto apicale, l’articolo 6 prevede condizioni specifiche affinché l’ente possa andare esente da responsabilità. Tra queste figurano l’adozione e l’efficace attuazione, prima della commissione del fatto, di modelli organizzativi idonei a prevenire reati della specie di quello verificatosi, l’affidamento della vigilanza a un organismo dotato di autonomi poteri di iniziativa e controllo, l’elusione fraudolenta del modello da parte dell’autore del reato e l’assenza di omessa o insufficiente vigilanza da parte dell’organismo stesso.
Per i reati commessi da soggetti sottoposti, l’articolo 7 collega invece la responsabilità dell’ente all’inosservanza degli obblighi di direzione o vigilanza, precisando che tale inosservanza è esclusa se l’ente, prima della commissione del reato, ha adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quello verificatosi. La distinzione è rilevante perché la valutazione dell’efficacia del Modello 231 deve tenere conto della posizione dell’autore del reato e delle condizioni previste dalla disciplina applicabile.
L’articolo 7 individua anche alcuni elementi dell’efficace attuazione: una verifica periodica del modello e la sua eventuale modifica quando siano scoperte significative violazioni delle prescrizioni oppure intervengano mutamenti nell’organizzazione o nell’attività, oltre a un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate. Non è quindi sufficiente che il documento contenga protocolli astrattamente adeguati. Occorre verificare se siano stati effettivamente applicati e se il sistema sia stato mantenuto funzionante nel tempo.
La mancata esecuzione di un singolo controllo non comporta necessariamente l’inefficacia dell’intero modello. La valutazione richiede di considerare la natura della violazione, la sua frequenza, il rischio che il controllo avrebbe dovuto presidiare, le misure alternative eventualmente esistenti e la risposta dell’organizzazione alle anomalie. Diversa è la situazione nella quale numerosi protocolli rimangano sistematicamente inapplicati, i responsabili non esercitino le funzioni assegnate oppure i vertici aziendali tollerino prassi incompatibili con le misure preventive.
In presenza di un reato presupposto, tali circostanze possono assumere rilievo nella ricostruzione dell’assetto organizzativo e nella valutazione della cosiddetta colpa di organizzazione. Occorre verificare concretamente quali carenze siano riferibili al rischio materializzatosi, senza confondere la commissione del reato con una prova automatica dell’inidoneità o dell’inefficace attuazione del modello. Anche un sistema preventivo adeguatamente organizzato può essere violato; ciò che assume rilievo è l’accertamento dei presupposti della responsabilità dell’ente nel caso specifico.
Le conseguenze di un’eventuale responsabilità ai sensi del Decreto 231 possono comprendere sanzioni pecuniarie e, nei casi previsti dalla legge, sanzioni interdittive, oltre alla confisca e alla pubblicazione della sentenza nei rispettivi presupposti normativi. L’esistenza di un Modello 231 soltanto formale non costituisce una protezione automatica rispetto a tali conseguenze. Per questo, nelle aziende che hanno già adottato il modello, la verifica deve riguardare soprattutto la effettiva attuazione, la documentazione delle attività di controllo e la capacità dei presidi organizzativi di operare nei processi esposti ai rischi di reato.
Come verificare l’effettiva applicazione del Modello 231 e intervenire sulle carenze organizzative
Quando un’azienda scopre che il proprio Modello 231 non viene applicato correttamente, il primo intervento dovrebbe riguardare la verifica del funzionamento dei controlli già previsti. Non è necessariamente opportuno riscrivere l’intero documento: occorre anzitutto comprendere se le criticità dipendano da procedure inadeguate, responsabilità non chiaramente attribuite, carenze nella formazione oppure dalla mancata esecuzione di attività che il modello disciplina già in maniera appropriata. La distinzione incide sulle misure correttive da adottare e consente di evitare interventi esclusivamente documentali, incapaci di modificare le prassi aziendali.
Un audit sull’effettiva attuazione del Modello 231 dovrebbe partire dalle attività sensibili individuate nella mappatura dei rischi e verificare, attraverso documenti, interviste e controlli a campione, se i protocolli siano concretamente osservati. Per esempio, se il modello prevede una doppia autorizzazione per determinate operazioni finanziarie, non basta accertare che la procedura sia stata approvata: occorre esaminare operazioni effettivamente eseguite, verificare la presenza delle autorizzazioni richieste e individuare eventuali deroghe. Lo stesso metodo può essere utilizzato per gli acquisti, la selezione dei fornitori, i rapporti con la pubblica amministrazione e le altre attività esposte ai reati presupposto pertinenti all’impresa.
La verifica deve considerare anche la documentazione disponibile. Verbali, registrazioni dei controlli, attestazioni formative, comunicazioni interne, flussi informativi verso l’Organismo di Vigilanza e riscontri alle anomalie costituiscono elementi utili per ricostruire il funzionamento del sistema preventivo. La loro assenza non dimostra automaticamente che ogni controllo sia stato omesso, ma può rendere più complesso accertare quali attività siano state realmente svolte. Per questo è opportuno predisporre modalità di tracciamento proporzionate alle dimensioni dell’impresa e alla rilevanza dei rischi, evitando adempimenti meramente burocratici.
Un’attenzione specifica riguarda i flussi informativi verso l’Organismo di Vigilanza. I responsabili aziendali devono conoscere quali informazioni trasmettere, con quali modalità e secondo quali scadenze, in conformità al modello adottato. Se l’OdV non riceve comunicazioni sulle anomalie, sulle violazioni dei protocolli o sulle modifiche organizzative rilevanti, la sua capacità di vigilanza può risultare compromessa. È quindi necessario verificare che l’organismo disponga delle informazioni e delle risorse necessarie per svolgere le proprie funzioni e che le eventuali osservazioni siano sottoposte all’attenzione degli organi competenti.
Anche le segnalazioni di possibili illeciti possono rivelare carenze nell’applicazione del modello. Quando una comunicazione riguarda la violazione di un protocollo 231, l’impresa deve valutare i fatti attraverso le procedure applicabili, rispettando la riservatezza e le garanzie previste dalla normativa sul whistleblowing quando ne ricorrono i presupposti. La gestione della segnalazione e l’attività dell’OdV devono essere coordinate secondo le rispettive competenze, senza presumere che ogni segnalazione debba essere automaticamente trasmessa integralmente all’organismo. Per gli aspetti operativi è possibile consultare il nostro approfondimento su cosa fare dopo aver ricevuto una segnalazione whistleblowing.
Una volta individuate le criticità, l’azienda dovrebbe definire un programma di intervento che attribuisca a ciascuna funzione responsabilità precise, attività verificabili e tempi di esecuzione. Se i protocolli risultano adeguati ma non rispettati, può essere necessario intervenire sulla formazione, sulle autorizzazioni operative e sui controlli dei responsabili. Quando invece emergono lacune nella disciplina dei processi aziendali, occorre valutare modifiche alle procedure e, se necessario, al modello organizzativo. Per distinguere queste situazioni può essere utile una specifica verifica dell’adeguatezza del Modello 231 già esistente.
Il sistema disciplinare merita una verifica autonoma. L’articolo 7 del D.Lgs. 231/2001 richiede un sistema idoneo a sanzionare il mancato rispetto delle misure indicate nel modello. Ciò non significa che ogni irregolarità debba produrre automaticamente una sanzione: l’intervento deve rispettare la disciplina lavoristica applicabile, le garanzie procedimentali e il principio di proporzionalità. L’assenza sistematica di reazioni a violazioni conosciute, specialmente quando riguardano controlli destinati a prevenire reati presupposto, può però costituire un elemento rilevante nella valutazione dell’effettività del sistema organizzativo.
Le verifiche successive devono accertare se gli interventi abbiano modificato il comportamento delle funzioni aziendali. Correggere una procedura senza controllarne la successiva applicazione rischia di riprodurre lo stesso problema. L’assistenza professionale può riguardare proprio questa fase: analizzare le carenze, definire misure proporzionate, supportare gli organi aziendali e verificare che il Modello 231 torni a operare come sistema di prevenzione concretamente integrato nell’organizzazione.
Esempio pratico: un’azienda con Modello 231 adottato ma controlli interni mai eseguiti
Consideriamo il caso ipotetico di una società manifatturiera che abbia adottato un Modello 231 e nominato un Organismo di Vigilanza, ma che, durante una verifica interna, scopra che alcune procedure relative agli acquisti e alla selezione dei fornitori non vengono applicate con regolarità. I responsabili utilizzano prassi consolidate, le autorizzazioni non sono sempre documentate e i flussi informativi verso l’OdV risultano incompleti. Il modello descrive controlli formalmente strutturati, ma l’organizzazione non dispone di riscontri sufficienti sulla loro effettiva esecuzione.
In una situazione di questo tipo, l’intervento professionale può iniziare dall’esame del modello e delle operazioni effettuate, attraverso verifiche documentali e colloqui con i responsabili delle funzioni interessate. L’aspetto più delicato consiste nel distinguere le inosservanze occasionali dalle prassi sistematiche incompatibili con i protocolli, verificando anche se le criticità siano state conosciute e affrontate dagli organi competenti. Sulla base delle risultanze, l’impresa può riorganizzare le autorizzazioni, definire controlli concretamente eseguibili, migliorare i flussi verso l’OdV e programmare verifiche successive. La finalità è rendere effettive le misure preventive già previste, modificandole soltanto dove risultino insufficienti rispetto ai rischi aziendali.
Domande frequenti sul Modello 231 adottato ma non applicato
Un Modello 231 non applicato può essere considerato inefficace anche se è stato approvato dal consiglio di amministrazione?
Sì. L’approvazione formale non è sufficiente a dimostrare l’efficace attuazione richiesta dal D.Lgs. 231/2001. Occorre verificare se i protocolli siano stati concretamente applicati, se i controlli abbiano funzionato e se l’organizzazione abbia reagito alle eventuali violazioni. L’inefficacia non può tuttavia essere presunta automaticamente da una singola irregolarità: la valutazione dipende dalle caratteristiche del sistema e dalle circostanze del caso.
Chi deve intervenire quando i dirigenti non rispettano le procedure del Modello 231?
Gli organi aziendali competenti devono valutare le inosservanze e adottare gli interventi organizzativi o disciplinari appropriati, nel rispetto delle rispettive attribuzioni e della normativa applicabile. L’Organismo di Vigilanza esercita le proprie funzioni di controllo, segnala le criticità rilevanti e verifica, nell’ambito dei suoi compiti, le iniziative intraprese. Non sostituisce però gli amministratori nella gestione dell’impresa.
Se l’Organismo di Vigilanza non ha effettuato controlli, bisogna sostituirlo?
Non necessariamente. Occorre accertare le ragioni dell’inattività, l’adeguatezza dei poteri e delle risorse disponibili, il funzionamento dei flussi informativi e l’eventuale presenza di carenze nell’esercizio delle funzioni. A seconda delle circostanze, può essere opportuno riorganizzare le attività di vigilanza, rafforzare il supporto all’organismo oppure valutarne la sostituzione secondo le regole applicabili.
È possibile rendere operativo un Modello 231 senza predisporne uno completamente nuovo?
Sì, quando il modello esistente risulta ancora adeguato rispetto ai rischi e all’organizzazione aziendale. In tali situazioni può essere sufficiente intervenire sull’applicazione delle procedure, sulla formazione, sui controlli e sulla documentazione delle attività svolte. Se emergono invece carenze strutturali, può rendersi necessaria una revisione più ampia. Per approfondire questa distinzione è possibile consultare il nostro articolo sulla revisione del Modello 231 e sui casi in cui è necessario rifarlo.
Un audit effettuato dopo una violazione può dimostrare che il Modello 231 era efficace?
Un audit successivo può contribuire a ricostruire il funzionamento dei controlli, individuare le carenze e documentare gli interventi correttivi. Non può però dimostrare, per il solo fatto di essere stato effettuato, che il modello fosse efficacemente attuato prima della commissione di un eventuale reato presupposto. In presenza di una contestazione, assumono rilievo anche le evidenze relative all’organizzazione e ai controlli effettivamente esistenti nel periodo interessato.
Modello 231 predisposto ma non applicato: richiedi una valutazione legale per la tua azienda
Se la vostra azienda ha adottato un Modello 231 ma le procedure non vengono rispettate, i controlli non sono documentati oppure l’Organismo di Vigilanza non dispone di informazioni sufficienti, è opportuno verificare l’effettivo funzionamento del sistema prima di limitarsi a un aggiornamento formale. Noi dello Studio Legale Calvello assistiamo le imprese nell’analisi delle criticità del Modello 231, nella valutazione dei rischi organizzativi e nell’individuazione degli interventi necessari per migliorarne la concreta attuazione.
Ogni situazione richiede un esame delle procedure adottate, delle attività effettivamente svolte e delle responsabilità delle diverse funzioni aziendali. Per sottoporci il vostro caso, richiedete una valutazione del Modello 231 della vostra azienda attraverso il modulo dedicato. Esamineremo la richiesta per valutare le possibili modalità di assistenza professionale.
