Articolo a cura di: Redazione - Studio Legale Calvello
La parte generale e la parte speciale del Modello 231 costituiscono le due componenti attraverso cui un’azienda definisce il proprio sistema di prevenzione dei reati rilevanti ai sensi del D.Lgs. 231/2001. La prima disciplina l’organizzazione complessiva del sistema di controllo, mentre la seconda individua le attività aziendali esposte ai rischi di reato e le misure predisposte per prevenirli. Una documentazione incompleta, generica o non coerente con l’effettiva organizzazione dell’impresa può compromettere l’idoneità del modello e la sua rilevanza nell’eventuale accertamento della responsabilità dell’ente.
Per gli amministratori e i responsabili aziendali, il problema non consiste soltanto nello stabilire quali documenti predisporre, ma nel verificare che parte generale, parte speciale, procedure operative e controlli interni costituiscano un sistema coerente e concretamente applicabile. La necessità di una verifica professionale emerge soprattutto quando il modello viene adottato per la prima volta, quando cambiano i processi aziendali oppure quando un modello già esistente presenta lacune che potrebbero assumere rilievo in caso di contestazioni.
Parte generale e parte speciale del Modello 231: differenze, requisiti e problemi di un modello incompleto
Il D.Lgs. 231/2001 non impone una suddivisione formalmente obbligatoria del modello in parte generale e parte speciale. Questa articolazione si è consolidata nella prassi professionale perché consente di distinguere le regole comuni dell’organizzazione dalle misure di prevenzione riferite ai singoli rischi aziendali. La distinzione è utile, ma non sostituisce la verifica dei requisiti sostanziali previsti dagli articoli 6 e 7 del decreto.
La parte generale del Modello 231 descrive l’impianto organizzativo e i meccanismi attraverso cui l’ente intende prevenire i reati. Deve rappresentare correttamente la struttura societaria, il sistema delle responsabilità, i principi di controllo, il ruolo dell’Organismo di Vigilanza, il sistema disciplinare e le modalità di diffusione, attuazione e aggiornamento del modello. La sua funzione è rendere comprensibile chi assume le decisioni, chi esercita i controlli e attraverso quali strumenti vengono individuate e gestite le violazioni.
La parte speciale del Modello 231 traduce questi principi nelle attività concretamente svolte dall’impresa. Per ciascuna area rilevante deve individuare i rischi di commissione dei reati presupposto, i processi interessati, le funzioni coinvolte e i presidi di prevenzione. Un’azienda manifatturiera, per esempio, presenta processi e rischi differenti rispetto a una società di servizi informatici. Riprodurre indistintamente gli stessi protocolli in entrambe le organizzazioni rischia di lasciare senza adeguata disciplina attività effettivamente esposte.
La differenza tra le due parti emerge soprattutto quando occorre verificare se il modello sia effettivamente idoneo. Una parte generale formalmente completa non compensa necessariamente l’assenza di controlli specifici nelle attività sensibili. Allo stesso modo, una parte speciale ricca di procedure può risultare insufficiente se manca un sistema organizzativo capace di attribuire responsabilità, assicurare la vigilanza e reagire alle violazioni.
Un problema ricorrente riguarda i Modelli 231 predisposti utilizzando documenti standard, nei quali vengono elencati numerosi reati presupposto senza verificare la loro concreta relazione con le attività dell’impresa. Il risultato può essere una parte speciale molto estesa, ma poco utile per chi deve applicarla. La completezza non si misura dal numero di pagine o dalla quantità di fattispecie richiamate: dipende dalla capacità del modello di individuare i rischi pertinenti e disciplinare le decisioni e le operazioni attraverso cui potrebbero concretizzarsi.
Occorre distinguere anche tra adozione del modello e sua effettiva attuazione. La normativa non impone indiscriminatamente a tutte le imprese di adottare un Modello 231, pur potendo sussistere specifiche condizioni o richieste contrattuali che ne rendono necessaria la predisposizione in determinati contesti. Quando l’ente decide di adottarlo, però, la semplice approvazione di un documento non determina automaticamente l’esclusione della responsabilità amministrativa. Assumono rilievo l’idoneità preventiva, l’attuazione concreta e le condizioni previste dal decreto, da valutare in relazione alla fattispecie contestata.
Cosa deve contenere la parte generale del Modello 231: organizzazione, OdV, controlli e sistema disciplinare
La redazione della parte generale richiede innanzitutto una rappresentazione attendibile dell’azienda. Devono essere considerati la natura dell’attività, la struttura societaria, gli organi di amministrazione e controllo, le principali funzioni operative e il sistema di deleghe e procure. Non è sufficiente allegare un organigramma: occorre verificare che i poteri formalmente attribuiti corrispondano alle responsabilità effettivamente esercitate e che i processi decisionali siano riconoscibili e documentabili.
Un aspetto particolarmente delicato riguarda il sistema delle deleghe, dei poteri autorizzativi e dei controlli interni. La parte generale deve descrivere i criteri con cui l’organizzazione attribuisce responsabilità e assicura un adeguato controllo sulle operazioni. Le modalità applicative possono essere disciplinate da procedure e documenti richiamati dal modello, purché siano coerenti, accessibili ai destinatari interessati e mantenuti aggiornati. In un’impresa con amministratore unico, per esempio, la concentrazione dei poteri richiede soluzioni proporzionate alla struttura, senza presumere che sia sempre possibile replicare la separazione delle funzioni tipica di una società di maggiori dimensioni.
La parte generale deve poi disciplinare l’Organismo di Vigilanza (OdV), al quale l’articolo 6 del D.Lgs. 231/2001 attribuisce compiti di vigilanza sul funzionamento e sull’osservanza del modello e di cura del suo aggiornamento. Occorre definire i criteri di individuazione, i requisiti, i poteri di iniziativa e controllo, le modalità di funzionamento e i rapporti con gli organi societari. La configurazione dell’organismo deve essere valutata in relazione alle caratteristiche dell’ente e alle disposizioni applicabili, comprese le possibilità previste per gli enti di piccole dimensioni.
Particolare attenzione meritano i flussi informativi verso l’OdV. Il modello deve stabilire quali informazioni debbano essere trasmesse, da quali funzioni, con quali modalità e in presenza di quali circostanze. Possono assumere rilievo, per esempio, le anomalie nei processi sensibili, le violazioni dei protocolli, determinati esiti delle verifiche interne e le modifiche organizzative che incidono sull’esposizione ai rischi. La parte generale definisce il sistema informativo complessivo, mentre la parte speciale può precisare gli obblighi riferiti alle singole attività.
Un altro elemento necessario è il sistema disciplinare, previsto dal D.Lgs. 231/2001 per sanzionare il mancato rispetto delle misure indicate nel modello. La disciplina deve individuare le violazioni rilevanti e le conseguenze applicabili alle diverse categorie di destinatari, nel rispetto della normativa lavoristica, dei contratti collettivi e delle altre disposizioni pertinenti. Per amministratori, dirigenti, collaboratori e soggetti esterni possono essere necessarie misure differenti, comprese specifiche clausole contrattuali quando appropriate.
Il codice etico, frequentemente richiamato o allegato alla parte generale, definisce i principi di comportamento dell’organizzazione. Non deve però essere confuso con i protocolli di prevenzione: affermare che l’impresa rifiuta qualsiasi forma di corruzione non equivale a disciplinare i controlli sui rapporti con intermediari, consulenti o pubbliche amministrazioni. Il collegamento tra principi etici e regole operative deve essere verificabile nella documentazione aziendale.
La parte generale deve infine regolare la formazione e la comunicazione del Modello 231, le modalità di verifica della sua attuazione e il procedimento di aggiornamento. Non tutti i dipendenti devono necessariamente ricevere gli stessi contenuti formativi: l’informazione deve essere adeguata ai ruoli e ai rischi connessi alle rispettive attività. È altrettanto importante conservare evidenze delle iniziative svolte, affinché l’azienda possa documentare l’effettiva diffusione delle regole.
Quando applicabile, il sistema deve essere coordinato con gli obblighi in materia di whistleblowing previsti dal D.Lgs. 24/2023, compresi i canali di segnalazione e le disposizioni disciplinari pertinenti. Il rapporto tra gestore delle segnalazioni e Organismo di Vigilanza richiede una disciplina compatibile con gli obblighi di riservatezza e con le rispettive competenze. Per le imprese che stanno organizzando questo presidio può essere utile approfondire anche la gestione del whistleblowing aziendale e dei relativi rischi legali.
La predisposizione della parte generale deve quindi partire dall’organizzazione effettiva dell’impresa e dai suoi strumenti di governo. Soltanto su questa base è possibile costruire una parte speciale nella quale i rischi individuati siano collegati a controlli concretamente eseguibili e a responsabilità chiaramente attribuite.
Cosa deve contenere la parte speciale del Modello 231: attività sensibili, reati presupposto e protocolli di prevenzione
La parte speciale del Modello 231 deve collegare i rischi di reato alle attività effettivamente svolte dall’impresa e alle misure organizzative predisposte per prevenirli. Per costruirla correttamente occorre partire dalla mappatura dei processi aziendali, individuare le aree sensibili e verificare quali fattispecie previste dal D.Lgs. 231/2001 possano concretamente interessare l’organizzazione. Non è sufficiente inserire un elenco astratto di reati presupposto: ogni scelta deve essere motivata dalle caratteristiche dell’azienda, dalle operazioni svolte e dalle modalità con cui vengono assunte le decisioni.
La prima componente è quindi l’individuazione delle attività sensibili, ossia dei processi nei quali può verificarsi una condotta rilevante ai fini della responsabilità dell’ente. Possono rientrarvi, secondo il settore e l’organizzazione, la gestione dei rapporti con la pubblica amministrazione, gli acquisti, la selezione dei fornitori, i pagamenti, la contabilità, la gestione fiscale, le risorse umane, la sicurezza sul lavoro e i sistemi informatici. La presenza di un’attività non comporta automaticamente l’esposizione a ogni reato presupposto: occorre analizzare le modalità operative e le circostanze che potrebbero consentire la commissione della specifica fattispecie.
Per ogni area individuata è opportuno descrivere il processo, le funzioni coinvolte, i soggetti autorizzati a prendere decisioni e i principali punti di vulnerabilità. Questa analisi permette di collegare il rischio alle operazioni concrete. Nel caso dei rapporti con la pubblica amministrazione, per esempio, possono essere rilevanti la partecipazione a gare, la richiesta di contributi, la gestione delle autorizzazioni e i rapporti con funzionari pubblici. Per ciascun processo occorre poi valutare quali controlli siano necessari, come debbano essere eseguiti e quali documenti consentano di verificarne l’effettiva applicazione.
La parte speciale deve disciplinare i protocolli di prevenzione con un livello di dettaglio proporzionato ai rischi. Le misure possono comprendere procedure autorizzative, separazione delle funzioni, verifiche preventive, controlli sulla documentazione, tracciabilità dei pagamenti e registrazione delle operazioni. Se un processo consente a un unico soggetto di richiedere un acquisto, scegliere il fornitore, autorizzare il pagamento e verificarne l’esecuzione, occorre valutare se tale concentrazione sia compatibile con il rischio individuato e quali controlli compensativi siano necessari.
Non tutte le imprese devono adottare procedure identiche. Una piccola società con una struttura organizzativa essenziale può richiedere controlli diversi da quelli di un gruppo articolato in più società e sedi. La proporzionalità, però, non deve diventare una giustificazione per lasciare senza presidio i processi esposti. Anche quando le funzioni non possono essere separate completamente, il modello può prevedere autorizzazioni, verifiche successive o controlli indipendenti adeguati alle risorse disponibili e alla natura delle operazioni.
Un ulteriore elemento riguarda il coordinamento con le procedure aziendali già esistenti. La parte speciale non deve necessariamente riprodurre integralmente ogni istruzione operativa, purché richiami documenti identificabili, aggiornati e coerenti con il sistema 231. Le procedure richiamate devono essere realmente applicate, conosciute dalle persone interessate e compatibili con le responsabilità definite nell’organizzazione. Se il modello descrive un controllo che nessuno esegue o rinvia a una procedura non più utilizzata, la documentazione rischia di non rappresentare il funzionamento reale dell’impresa.
La selezione dei reati presupposto deve tenere conto anche delle modifiche normative e dei cambiamenti dell’attività aziendale. Le aree relative ai reati societari, tributari, informatici, ambientali, alla salute e sicurezza sul lavoro o ai rapporti con la pubblica amministrazione possono richiedere approfondimenti diversi in funzione del caso concreto. È necessario verificare quali fattispecie siano pertinenti, come possano essere realizzate nei processi aziendali e quali presidi siano idonei a ridurre il rischio. Per questo motivo, una valutazione dei rischi 231 riferita alle attività aziendali costituisce una base utile per definire contenuti specifici e non meramente standardizzati.
La parte speciale deve infine consentire di verificare se i protocolli siano rispettati. A questo scopo è opportuno individuare i responsabili dei controlli, la documentazione da conservare, le anomalie da segnalare e le informazioni da trasmettere all’Organismo di Vigilanza secondo le regole del modello. La verifica non riguarda soltanto l’esistenza formale delle procedure: deve considerare anche se i controlli siano eseguiti, se le eccezioni siano gestite correttamente e se le criticità emerse determinino interventi di revisione.
Come verificare l’adeguatezza delle due parti e ridurre le lacune del sistema 231
La verifica della parte generale e della parte speciale richiede un esame coordinato dei documenti e dell’organizzazione aziendale. Il primo controllo consiste nel confrontare quanto previsto dal modello con la struttura effettiva dell’impresa: organigrammi, deleghe, procure, procedure, flussi autorizzativi e responsabilità devono essere coerenti. Se nel frattempo sono stati introdotti nuovi servizi, aperte sedi, modificati i poteri di firma o esternalizzate attività rilevanti, occorre verificare se il modello continui a rappresentare correttamente i processi e i rischi.
Una verifica di adeguatezza del Modello 231 dovrebbe considerare almeno la completezza della mappatura, la pertinenza dei reati presupposto selezionati, la concretezza dei protocolli e la chiarezza delle responsabilità. È necessario controllare anche il funzionamento dell’Organismo di Vigilanza, l’adeguatezza dei flussi informativi, il sistema disciplinare e le modalità di formazione del personale. Un documento può risultare formalmente ordinato e aggiornato nella data, ma non essere più adeguato se i controlli previsti non corrispondono alle attività realmente svolte.
La revisione deve inoltre tenere conto delle informazioni emerse durante l’applicazione del modello. Violazioni delle procedure, anomalie nei pagamenti, risultati degli audit, segnalazioni interne e modifiche normative possono indicare la necessità di rivalutare determinati rischi. Non ogni evento impone automaticamente una revisione integrale, ma ogni elemento rilevante deve essere valutato per stabilire se siano necessarie modifiche alla parte generale, alla parte speciale o alle procedure operative richiamate.
In questo contesto, il ruolo dell’Organismo di Vigilanza deve rimanere distinto da quello degli organi e delle funzioni responsabili dell’attuazione del modello. L’OdV vigila sul funzionamento e sull’osservanza del sistema nei limiti delle proprie attribuzioni; non dovrebbe essere considerato il sostituto di chi deve gestire quotidianamente i processi e applicare i protocolli. La parte generale deve chiarire questi rapporti per evitare sovrapposizioni di competenze o aree nelle quali nessuno si ritenga responsabile del controllo.
Particolare attenzione va riservata alle carenze documentali. Se una procedura prevede l’autorizzazione preventiva di una spesa, l’impresa deve poter dimostrare che l’autorizzazione sia stata effettivamente rilasciata. Se il modello stabilisce obblighi di formazione, devono essere conservate evidenze adeguate delle attività svolte. Se sono previsti flussi informativi all’OdV, occorre poter ricostruire le informazioni trasmesse e le eventuali verifiche conseguenti. La documentazione, da sola, non dimostra l’efficacia del sistema, ma la sua assenza può rendere più difficile ricostruire l’applicazione delle regole.
Quando emergono carenze, l’azienda dovrebbe distinguere tra errori formali, procedure non più aggiornate, controlli insufficienti e mancata attuazione di presidi già previsti. La risposta dipende dalla natura del problema: può essere necessario correggere la documentazione, ridefinire le responsabilità, introdurre controlli aggiuntivi, formare il personale o modificare il processo operativo. In presenza di una contestazione penale o di rilievi sulla responsabilità dell’ente, la verifica richiede particolare cautela e deve essere rapportata agli atti disponibili e alla specifica situazione processuale.
Un audit del Modello 231 può aiutare a individuare queste criticità prima che si traducano in problemi operativi o in difficoltà nel dimostrare il funzionamento del sistema. La sua utilità dipende dalla profondità dell’analisi: non basta verificare che esistano una parte generale, una parte speciale e un codice etico. Occorre esaminare i processi, confrontare le procedure con le prassi effettive e stabilire se i controlli siano proporzionati ai rischi individuati. Le modalità e l’estensione della verifica devono essere definite in relazione alla complessità dell’impresa e alle ragioni che hanno reso necessario l’intervento.
Per le società che dispongono già di un modello, una revisione mirata può essere preferibile alla sostituzione integrale della documentazione quando le criticità riguardano soltanto alcune aree. Se invece il modello deriva da un documento standard mai adattato, non rappresenta più l’organizzazione o presenta lacune diffuse, può essere opportuno procedere a una revisione più ampia. La scelta deve derivare dall’esame dei documenti e dei processi, non da una soluzione prestabilita.
Esempio pratico: un’azienda deve correggere le carenze della parte generale e della parte speciale del Modello 231
Una società di medie dimensioni, attiva nella produzione industriale, dispone di un Modello 231 adottato alcuni anni prima. Nel corso di una verifica interna emerge che la parte generale richiama un sistema di deleghe non più aggiornato, mentre la parte speciale disciplina i rapporti con i fornitori senza prevedere controlli sufficientemente chiari sulle autorizzazioni di spesa e sulla documentazione delle operazioni.
L’azienda decide di sottoporre il modello a una revisione professionale. L’analisi riguarda la struttura organizzativa, i processi di acquisto, i poteri autorizzativi, le procedure esistenti e i flussi informativi verso l’Organismo di Vigilanza. Viene riscontrato che alcune regole descritte nei documenti non corrispondono alle prassi effettivamente seguite e che determinati controlli non sono accompagnati da evidenze documentali adeguate.
L’intervento viene quindi articolato in funzione delle carenze rilevate: aggiornamento della parte generale per riallineare responsabilità e deleghe, revisione della parte speciale relativa ai processi interessati e verifica delle procedure operative. Vengono esaminate anche le modalità con cui documentare i controlli e comunicare all’OdV le anomalie rilevanti. L’attenzione non si concentra soltanto sulla correzione dei documenti, ma sulla possibilità di applicare concretamente le regole nella gestione quotidiana dell’impresa.
Un caso di questo tipo mostra perché la revisione del Modello 231 debba partire dall’organizzazione reale. Le modifiche documentali, infatti, devono essere accompagnate da responsabilità definite, controlli applicabili e modalità di verifica coerenti con i rischi individuati.
FAQ sulla parte generale e sulla parte speciale del Modello 231
La parte generale e la parte speciale del Modello 231 sono entrambe necessarie?
La suddivisione in queste due parti non è imposta dal D.Lgs. 231/2001 come schema formale obbligatorio. È però una struttura frequentemente utilizzata per rappresentare in modo ordinato il sistema organizzativo e le misure riferite ai rischi specifici. Qualunque sia la struttura documentale scelta, il modello deve rispondere ai requisiti normativi applicabili e risultare adeguato alle caratteristiche dell’ente.
La parte speciale deve contenere tutti i reati previsti dal D.Lgs. 231/2001?
Non è sufficiente inserire indiscriminatamente tutte le fattispecie. Occorre svolgere un’analisi dei processi aziendali e individuare i reati presupposto concretamente pertinenti, motivando le valutazioni effettuate. L’analisi deve essere aggiornata quando cambiano le attività, l’organizzazione o il quadro normativo rilevante.
Un Modello 231 già adottato deve essere riscritto integralmente?
Non necessariamente. Se il modello è ancora adeguato nella sua impostazione generale e presenta carenze circoscritte, può essere sufficiente una revisione mirata. Se, invece, la documentazione non riflette più l’organizzazione, la mappatura dei rischi è incompleta o i protocolli risultano inadeguati, può essere necessario un intervento più ampio. La scelta dipende dall’esame del modello e dei processi effettivi.
Chi deve verificare la correttezza della parte generale e della parte speciale?
La verifica può coinvolgere le funzioni aziendali competenti, l’Organismo di Vigilanza per gli aspetti rientranti nelle sue attribuzioni e professionisti esterni incaricati dell’analisi o della revisione. È importante distinguere la vigilanza sull’osservanza e sul funzionamento del modello dalla responsabilità gestionale per l’attuazione delle procedure e dei controlli.
Quanto costa revisionare la parte generale e la parte speciale del Modello 231?
Il costo dipende dalla complessità dell’impresa, dal numero di processi sensibili, dallo stato della documentazione esistente e dall’estensione delle verifiche necessarie. Un modello già strutturato che richiede aggiornamenti circoscritti comporta un’attività diversa rispetto a un sistema da ricostruire attraverso una nuova mappatura dei rischi e la revisione delle procedure. Per formulare una stima attendibile è necessario esaminare la situazione aziendale e definire le attività richieste.
Richiedi una valutazione legale della parte generale e della parte speciale del Modello 231 della tua azienda
Una parte generale incompleta o una parte speciale non coerente con i processi aziendali possono lasciare lacune nel sistema di prevenzione e rendere più difficile dimostrare l’effettiva applicazione del modello. La verifica deve considerare la struttura societaria, le attività sensibili, i protocolli, i controlli interni e il funzionamento dell’Organismo di Vigilanza.
Lo Studio Legale Calvello può esaminare la documentazione esistente e valutare le esigenze di predisposizione, revisione o aggiornamento del Modello 231, tenendo conto delle caratteristiche dell’impresa e dei rischi connessi alla sua attività. L’intervento può riguardare l’adeguatezza delle due parti, il coordinamento con le procedure aziendali e l’individuazione delle eventuali carenze da correggere.
Se la tua azienda deve adottare un Modello 231, aggiornare quello esistente o verificare se i documenti rispecchiano realmente l’organizzazione, puoi richiedere una valutazione legale per il Modello 231 della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le attività professionali pertinenti alla situazione descritta.
