Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può avere adottato da tempo un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 senza sapere se sia ancora adeguato alla propria attività. Il documento potrebbe essere formalmente completo, ma non considerare alcuni rischi, prevedere controlli che nella pratica non vengono eseguiti oppure non rispecchiare più la struttura organizzativa dell’impresa. Per capire se il Modello 231 è adeguato occorre verificare sia la sua idoneità a prevenire i reati rilevanti, sia la concreta attuazione delle misure previste. La questione assume particolare rilievo quando cambiano le attività aziendali, emergono irregolarità, l’Organismo di Vigilanza segnala carenze oppure la società deve dimostrare l’affidabilità del proprio sistema di controllo. In queste circostanze una valutazione professionale può consentire di individuare le criticità e stabilire quali interventi siano effettivamente necessari.

Quando un Modello 231 può essere considerato adeguato e quali segnali devono preoccupare l’azienda

Il primo errore da evitare consiste nel confondere l’esistenza del Modello 231 con la sua adeguatezza. La delibera di adozione, la presenza di un codice etico e la predisposizione di procedure aziendali non dimostrano, da sole, che il sistema sia idoneo a prevenire i reati presupposto contemplati dal D.Lgs. 231/2001. Un Modello 231 adeguato deve essere costruito sui rischi concretamente riconducibili all’attività dell’impresa e trovare effettiva applicazione nell’organizzazione aziendale.

Gli articoli 6 e 7 del D.Lgs. 231/2001 individuano i presupposti rilevanti per valutare i modelli organizzativi, distinguendo anche in relazione alla posizione dell’autore del reato. Il sistema deve individuare le attività nelle quali possono essere commessi reati, prevedere protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente, disciplinare la gestione delle risorse finanziarie e stabilire obblighi informativi verso l’Organismo di Vigilanza. Devono essere presenti misure disciplinari idonee a sanzionare il mancato rispetto delle prescrizioni e, nei casi previsti, le disposizioni relative alle segnalazioni whistleblowing.

L’adeguatezza non può quindi essere valutata attraverso un semplice controllo documentale. Occorre comprendere se le procedure siano proporzionate ai rischi, se i responsabili aziendali conoscano i propri compiti e se esistano riscontri verificabili dell’esecuzione dei controlli. Un protocollo che impone una doppia autorizzazione per determinate operazioni, ad esempio, perde gran parte della propria utilità preventiva se nella pratica un unico dirigente può disporre pagamenti senza una verifica indipendente.

Un segnale di possibile inadeguatezza emerge quando il Modello non corrisponde più all’organizzazione effettiva. Può accadere dopo l’acquisizione di una società, l’apertura di nuovi stabilimenti, l’ingresso in settori differenti o una modifica delle deleghe attribuite agli amministratori. In queste situazioni, le attività sensibili originariamente individuate potrebbero non comprendere tutti i processi esposti al rischio di commissione di reati.

Altre criticità riguardano la mancata esecuzione dei controlli, l’assenza di documentazione sulle verifiche, la scarsa formazione dei dipendenti e il mancato recepimento delle osservazioni formulate dall’Organismo di Vigilanza. Anche una successione di violazioni delle procedure interne può indicare che il sistema preventivo non funziona come previsto. Non ogni irregolarità determina automaticamente l’inidoneità del Modello, ma le anomalie ripetute o sistematiche richiedono una valutazione delle cause organizzative e delle misure correttive.

Un ulteriore elemento da considerare è il tempo trascorso dall’ultima valutazione dei rischi. La normativa non stabilisce un intervallo unico di revisione applicabile indistintamente a tutte le imprese. L’articolo 7 del D.Lgs. 231/2001 richiede però verifiche periodiche e l’eventuale modifica del Modello quando vengono scoperte violazioni significative delle prescrizioni oppure intervengono mutamenti nell’organizzazione o nell’attività. Anche le modifiche normative e l’introduzione di nuovi reati presupposto devono essere esaminate per stabilire se incidano sui rischi concretamente presenti.

Per un’impresa che possiede già un sistema organizzativo, il punto di partenza è quindi una verifica della sua adeguatezza attuale. Il tema è collegato alla valutazione del Modello 231 già esistente, ma richiede soprattutto di stabilire quali elementi permettano di considerare il sistema realmente idoneo rispetto alle caratteristiche dell’azienda.

Come verificare concretamente l’adeguatezza del Modello 231: rischi, procedure e controlli effettivi

La valutazione deve partire dalla conoscenza dell’organizzazione aziendale. Prima di esaminare le singole procedure occorre ricostruire le attività svolte, la distribuzione delle responsabilità, i poteri decisionali, i rapporti con soggetti esterni e le modalità attraverso le quali vengono autorizzate e controllate le operazioni. Questa ricostruzione permette di confrontare il funzionamento reale dell’impresa con quello descritto nel Modello 231.

Il primo elemento da verificare è la corrispondenza tra i rischi di reato individuati e le attività effettivamente esercitate. La mappatura deve considerare i processi nei quali potrebbero verificarsi condotte rilevanti ai sensi del decreto, tenendo conto delle modalità operative, dei soggetti coinvolti e dei presidi già esistenti. Per un’impresa manifatturiera possono assumere particolare rilievo la sicurezza sul lavoro e la gestione ambientale; per una società che intrattiene frequenti rapporti con amministrazioni pubbliche possono risultare particolarmente esposti i processi relativi a gare, autorizzazioni e rapporti istituzionali. La valutazione deve comunque riguardare l’insieme dei rischi pertinenti alla specifica attività, senza limitarsi a quelli apparentemente più evidenti.

La presenza di un elenco aggiornato dei reati presupposto non equivale a una corretta analisi del rischio. Occorre verificare se l’azienda abbia individuato le modalità attraverso le quali determinate condotte potrebbero concretamente verificarsi e se abbia predisposto controlli coerenti con tali scenari. Per approfondire questo passaggio è utile distinguere la verifica complessiva dell’adeguatezza dalla specifica attività di risk assessment 231 e individuazione delle attività a rischio reato.

Il secondo elemento riguarda la qualità dei protocolli preventivi. Le procedure devono individuare responsabilità, autorizzazioni, controlli e modalità di conservazione delle evidenze. Non è sufficiente stabilire che una determinata operazione debba essere approvata: bisogna verificare chi dispone del potere di autorizzarla, quali informazioni deve esaminare, se esistano controlli indipendenti e come venga documentata la decisione. La coerenza tra deleghe, procure, organigramma e procedure operative costituisce un indicatore particolarmente utile.

La verifica deve poi accertare se le prescrizioni siano applicate. A questo scopo possono essere esaminati documenti relativi a operazioni effettivamente svolte, registrazioni delle autorizzazioni, verbali di controllo, report delle funzioni aziendali e riscontri delle attività formative. Le interviste ai responsabili dei processi consentono di comprendere se le procedure descritte siano conosciute e rispettate. La differenza tra un controllo previsto e un controllo realmente eseguito è uno degli aspetti decisivi nella valutazione dell’efficacia del Modello 231.

Un’attenzione specifica deve essere riservata all’Organismo di Vigilanza. Occorre verificare che disponga dei requisiti richiesti, di adeguati poteri di iniziativa e controllo, delle informazioni necessarie e di condizioni operative che consentano una vigilanza effettiva. L’esistenza di verbali periodici non basta se non emerge quali attività siano state svolte, quali criticità siano state individuate e come l’azienda abbia gestito le eventuali raccomandazioni. Il giudizio sull’adeguatezza del sistema deve considerare anche il funzionamento dei flussi informativi e il rapporto tra l’OdV e gli organi societari.

La valutazione comprende il sistema disciplinare e la formazione del personale. Le violazioni delle prescrizioni devono poter essere affrontate mediante misure coerenti con la normativa applicabile, mentre i soggetti che operano nelle aree a rischio devono conoscere le procedure pertinenti alle proprie funzioni. Una formazione indistinta, limitata alla consegna del documento, potrebbe non essere sufficiente a dimostrare che il personale abbia acquisito le conoscenze operative necessarie.

Quando l’azienda è soggetta alla disciplina del whistleblowing, deve essere verificato anche il coordinamento tra il sistema di segnalazione, le procedure interne e il Modello 231. Le informazioni relative a possibili violazioni devono essere gestite secondo le regole applicabili, assicurando riservatezza e corretta attribuzione delle responsabilità. I rapporti con l’Organismo di Vigilanza devono essere organizzati senza compromettere le garanzie previste dal D.Lgs. 24/2023.

La verifica complessiva può richiedere un esame documentale, interviste e controlli su operazioni selezionate in base al rischio. L’estensione delle attività dipende dalle dimensioni dell’impresa, dalla complessità dei processi e dalle criticità già emerse. Una verifica strutturata del Modello 231 esistente permette di distinguere le carenze documentali dai problemi che incidono sul funzionamento dei presidi preventivi, mentre l’audit sull’effettiva applicazione del Modello 231 consente di approfondire il rispetto delle procedure nella gestione quotidiana.

Quali rischi corre l’azienda se il Modello 231 risulta inadeguato e come intervenire sulle carenze

Quando la verifica individua carenze nel Modello 231, occorre stabilire quali incidano realmente sulla capacità dell’organizzazione di prevenire i reati. Non tutte le anomalie hanno la stessa gravità. Una procedura che contiene un riferimento organizzativo superato richiede un intervento diverso rispetto all’assenza di controlli su un processo esposto a un rischio elevato. La valutazione deve distinguere le irregolarità formali dalle carenze che possono compromettere l’idoneità o l’efficace attuazione del Modello 231.

Questa distinzione assume particolare importanza rispetto alla responsabilità amministrativa degli enti disciplinata dal D.Lgs. 231/2001. La società può essere chiamata a rispondere di determinati reati commessi nel suo interesse o a suo vantaggio da soggetti che rivestono funzioni di rappresentanza, amministrazione o direzione, oppure da persone sottoposte alla loro direzione o vigilanza, quando ricorrono gli ulteriori presupposti previsti dalla normativa. La responsabilità dell’ente non deriva automaticamente da qualsiasi illecito commesso all’interno dell’azienda, né dalla semplice presenza di una lacuna organizzativa.

Il Modello 231 assume rilievo nella valutazione dei presupposti di esonero dalla responsabilità, secondo le condizioni stabilite dagli articoli 6 e 7 del decreto. In particolare, per i reati commessi da soggetti apicali, l’articolo 6 richiede, tra gli altri presupposti, che l’organo dirigente abbia adottato ed efficacemente attuato, prima della commissione del fatto, un modello idoneo a prevenire reati della specie di quello verificatosi. Devono inoltre ricorrere le ulteriori condizioni relative all’Organismo di Vigilanza, all’elusione fraudolenta del modello e all’assenza di omessa o insufficiente vigilanza. Per i reati commessi da soggetti sottoposti, l’articolo 7 disciplina la rilevanza dell’inosservanza degli obblighi di direzione o vigilanza e dell’adozione ed efficace attuazione di un modello idoneo.

La presenza di un Modello 231 formalmente approvato non assicura quindi, da sola, l’esclusione della responsabilità dell’ente. Se il documento non considera un rischio concretamente presente nell’organizzazione oppure contiene prescrizioni prive di applicazione effettiva, la sua idoneità può essere oggetto di contestazione. La valutazione deve comunque essere riferita alle circostanze del caso, alla tipologia di reato e al sistema organizzativo esistente al momento dei fatti.

Le conseguenze di un eventuale accertamento della responsabilità dell’ente possono comprendere sanzioni pecuniarie e, nei casi e alle condizioni previsti dalla legge, sanzioni interdittive, confisca e pubblicazione della sentenza. Le misure interdittive possono incidere direttamente sulla continuità dell’attività imprenditoriale, ad esempio attraverso limitazioni all’esercizio dell’attività o ai rapporti con la Pubblica Amministrazione. Non è però corretto considerarle una conseguenza inevitabile dell’inadeguatezza del Modello: la loro applicazione dipende dai presupposti normativi e dall’accertamento della responsabilità dell’ente.

Quando emergono criticità, l’intervento deve essere proporzionato alla loro natura. Se il problema riguarda una mappatura dei rischi incompleta, occorre riesaminare i processi interessati e individuare i presidi preventivi mancanti. Se le procedure sono adeguatamente formulate ma non vengono rispettate, può essere necessario intervenire sulle responsabilità operative, sulle modalità di controllo e sulla formazione del personale. Quando le anomalie riguardano i flussi informativi verso l’Organismo di Vigilanza, bisogna verificare quali informazioni non vengano trasmesse, da quali funzioni e per quali ragioni.

Una valutazione professionale deve consentire di definire le priorità degli interventi. Le carenze che interessano attività maggiormente esposte al rischio di reato richiedono normalmente un’attenzione più immediata rispetto a difetti documentali che non incidono sul funzionamento dei controlli. La gap analysis 231 può essere utilizzata per individuare gli scostamenti tra l’assetto organizzativo esistente e quello necessario a presidiare i rischi rilevanti, mentre la successiva pianificazione degli interventi deve individuare responsabili, attività e modalità di verifica della loro esecuzione.

La correzione delle carenze non si esaurisce nella modifica del documento. Se viene introdotto un nuovo controllo, occorre attribuirne l’esecuzione a una funzione aziendale, renderlo compatibile con i processi operativi e predisporre evidenze che consentano di verificarne l’applicazione. Analogamente, una procedura aggiornata deve essere comunicata ai soggetti interessati e accompagnata, quando necessario, da istruzioni e formazione specifica.

Particolare attenzione è richiesta quando l’inadeguatezza emerge dopo una segnalazione interna, un accertamento o la scoperta di possibili condotte illecite. In questi casi la società deve valutare separatamente le esigenze di accertamento dei fatti, conservazione della documentazione, gestione delle responsabilità e revisione dei presidi organizzativi. Le modifiche successive possono assumere rilievo nei termini previsti dalla normativa, ma non rendono automaticamente adeguato il sistema esistente al momento di un eventuale reato.

Per questo motivo, l’esito della verifica dovrebbe tradursi in una valutazione motivata delle criticità e in un programma di interventi concretamente attuabili. L’azienda deve poter comprendere quali presidi funzionino, quali richiedano modifiche e quali verifiche successive siano necessarie per accertare che le correzioni siano state effettivamente recepite.

Un esempio pratico: il Modello 231 di un’azienda che ha modificato la propria organizzazione

Si consideri, a titolo di esempio ipotetico, una società manifatturiera che abbia adottato un Modello 231 alcuni anni prima e che, successivamente, abbia ampliato la produzione, introdotto nuovi fornitori e modificato la distribuzione delle responsabilità interne. Il documento continua a essere utilizzato, ma alcune procedure fanno riferimento a funzioni aziendali non più esistenti e la mappatura dei rischi non considera interamente i nuovi processi operativi.

Durante una verifica dell’adeguatezza emerge che determinate autorizzazioni vengono rilasciate secondo prassi differenti da quelle previste dal Modello. L’Organismo di Vigilanza riceve periodicamente informazioni, ma non dispone di riscontri sufficienti sull’esecuzione di alcuni controlli. Il problema principale non riguarda quindi soltanto l’aggiornamento dei documenti, bensì la corrispondenza tra il sistema preventivo formalizzato e il funzionamento effettivo dell’impresa.

In una situazione di questo tipo, l’intervento professionale può partire dall’esame del Modello esistente, delle deleghe, delle procedure e delle attività sensibili, per poi approfondire i processi nei quali sono emerse le principali differenze. Sulla base delle risultanze possono essere individuate le modifiche necessarie alla mappatura dei rischi, ai protocolli autorizzativi e ai flussi informativi verso l’OdV. La successiva verifica dell’applicazione dei nuovi controlli permette di valutare se le misure introdotte siano state recepite nell’organizzazione quotidiana, senza presumere che la sola revisione documentale abbia risolto tutte le criticità.

Domande frequenti sull’adeguatezza del Modello 231 aziendale

Chi può stabilire se il Modello 231 dell’azienda è adeguato?

L’adeguatezza può essere oggetto di una valutazione professionale condotta da un avvocato o da consulenti con competenze specifiche in materia di D.Lgs. 231/2001, organizzazione aziendale e sistemi di controllo. L’Organismo di Vigilanza svolge le proprie funzioni di vigilanza sul funzionamento e sull’osservanza del Modello e ne cura l’aggiornamento secondo quanto previsto dall’articolo 6 del decreto. La valutazione professionale non equivale però a una certificazione che vincoli l’autorità giudiziaria: in caso di procedimento, l’idoneità e l’efficace attuazione del Modello vengono esaminate in relazione ai fatti e ai presupposti di legge.

Un Modello 231 può essere inadeguato anche se l’azienda non ha mai ricevuto contestazioni?

Sì. L’assenza di contestazioni o procedimenti non dimostra necessariamente che il sistema preventivo sia adeguato. Potrebbero esistere rischi non individuati, procedure non applicate o controlli insufficienti che non hanno ancora dato luogo a irregolarità conosciute. Per questo la verifica deve considerare il funzionamento dell’organizzazione indipendentemente dall’esistenza di precedenti contestazioni.

È necessario rifare completamente il Modello 231 quando emergono delle carenze?

Non necessariamente. La decisione dipende dalla natura e dall’estensione delle criticità. Se il sistema organizzativo è sostanzialmente coerente con i rischi aziendali, possono essere sufficienti interventi mirati su specifiche procedure, responsabilità o controlli. Quando invece la mappatura dei rischi è profondamente incompleta oppure il Modello non rappresenta più l’organizzazione effettiva, può rendersi necessaria una revisione più estesa. La scelta deve derivare da una valutazione documentata, evitando sia modifiche puramente formali sia rifacimenti non giustificati.

La presenza di un Organismo di Vigilanza dimostra che il Modello 231 è efficace?

No. La nomina dell’OdV rappresenta un elemento del sistema previsto dal D.Lgs. 231/2001, ma non dimostra automaticamente l’efficacia del Modello. Occorre verificare che l’organismo disponga dei requisiti e dei poteri necessari, svolga concretamente le proprie attività, riceva informazioni adeguate e possa segnalare le criticità riscontrate. Anche il comportamento degli organi societari rispetto alle osservazioni dell’OdV assume rilievo nella valutazione complessiva.

Quanto costa una verifica professionale dell’adeguatezza del Modello 231?

Il costo dipende dalle dimensioni dell’impresa, dal numero di attività sensibili, dalla complessità organizzativa e dall’estensione degli accertamenti richiesti. Una valutazione documentale circoscritta comporta attività differenti rispetto a una verifica che comprende interviste, esame dei processi operativi e controlli sull’effettiva applicazione delle procedure. Prima di definire un preventivo è opportuno individuare l’obiettivo dell’incarico e la documentazione disponibile, distinguendo la valutazione iniziale dalle eventuali attività successive di revisione del Modello.

Richiedi una valutazione dell’adeguatezza del Modello 231 della tua azienda

Se la tua azienda ha già adottato un Modello 231, ma non dispone di una valutazione recente della sua adeguatezza, oppure sono emerse criticità nei controlli, nelle procedure o nelle attività dell’Organismo di Vigilanza, possiamo esaminare la situazione per individuare le verifiche e gli eventuali interventi necessari.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza nell’assistenza legale, affianca le imprese nella valutazione delle problematiche giuridiche e organizzative connesse al D.Lgs. 231/2001. L’analisi deve tenere conto dell’attività concretamente svolta, dei rischi di reato pertinenti, dell’organizzazione interna e delle misure preventive già adottate, senza presumere che ogni carenza richieda una revisione integrale del sistema.

Per verificare se il Modello 231 della tua azienda è ancora adeguato, richiedi una valutazione attraverso il modulo dedicato alla consulenza sul Modello 231. Potrai descrivere le esigenze dell’impresa e le eventuali criticità riscontrate. Esamineremo la richiesta per valutare il possibile intervento professionale e ricontattarti.