Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può aver adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, averlo approvato formalmente e aver nominato un Organismo di Vigilanza, senza che questo sistema sia realmente utilizzato nella gestione quotidiana. Il problema emerge quando le procedure non vengono rispettate, i controlli non sono eseguiti, i dipendenti non ricevono una formazione adeguata oppure le irregolarità segnalate rimangono senza seguito. In queste condizioni, il Modello 231 rischia di essere considerato soltanto formale e di non offrire all’impresa la tutela prevista dalla normativa.

La distinzione assume particolare rilievo quando viene contestato alla società uno dei reati presupposto previsti dal Decreto 231. L’adozione del modello, da sola, non determina automaticamente l’esclusione della responsabilità dell’ente: occorre valutare se l’organizzazione fosse concretamente idonea a prevenire reati della specie di quello verificatosi e se il sistema fosse efficacemente attuato. Per un imprenditore o un amministratore, verificare tempestivamente queste condizioni significa comprendere se i controlli aziendali funzionano oppure se esistono carenze che richiedono un intervento professionale.

Quando il Modello 231 è soltanto formale e perché può risultare inefficace

Il D.Lgs. 231/2001 attribuisce rilevanza all’adozione e all’efficace attuazione di modelli organizzativi idonei a prevenire determinati reati. Non è quindi sufficiente che la società conservi un documento denominato Modello 231, corredato da un codice etico e da procedure formalmente approvate. Il sistema deve trovare concreta applicazione nei processi aziendali esposti al rischio di commissione dei reati presupposto, attraverso responsabilità definite, protocolli operativi, controlli verificabili e un’attività di vigilanza effettiva.

Consideriamo un’impresa che abbia predisposto procedure per autorizzare pagamenti, selezionare fornitori e gestire i rapporti con la pubblica amministrazione. Se nella pratica i responsabili possono autorizzare operazioni senza rispettare i passaggi previsti, se nessuno verifica le anomalie e se le deroghe diventano abituali, la presenza delle procedure nel documento non dimostra che il rischio sia stato realmente presidiato. Una situazione analoga può verificarsi quando il Modello 231 contiene regole sulla sicurezza sul lavoro o sulla prevenzione dei reati ambientali, ma manca un sistema capace di verificarne l’applicazione nelle attività operative.

Le criticità possono derivare anche da un modello predisposto utilizzando schemi standard, senza un’analisi sufficientemente approfondita dell’organizzazione. Un documento apparentemente completo potrebbe non considerare attività sensibili effettivamente svolte dall’impresa, deleghe operative, modalità decisionali o rapporti con soggetti esterni. In questi casi, il problema non riguarda soltanto la qualità della documentazione, ma la distanza tra i rischi concretamente presenti e le misure adottate per prevenirli.

Un altro elemento da considerare è il comportamento degli organi amministrativi. Se la direzione tollera sistematicamente violazioni delle procedure, non assegna risorse ai controlli oppure ignora le anomalie comunicate dai responsabili, l’effettività del sistema organizzativo può risultare compromessa. Il Modello 231 deve essere applicato anche nei processi decisionali che coinvolgono amministratori e dirigenti, perché le condotte dei soggetti apicali assumono particolare rilievo nella disciplina della responsabilità degli enti.

Non ogni violazione di una procedura rende automaticamente inefficace l’intero modello. Occorre distinguere un episodio isolato, eventualmente realizzato eludendo fraudolentemente controlli adeguati, da carenze organizzative sistematiche o da prassi irregolari conosciute e tollerate. La valutazione richiede di esaminare la natura del rischio, le misure preventive concretamente adottate, la capacità dei controlli di individuare le anomalie e le reazioni dell’organizzazione quando vengono accertate violazioni.

Responsabilità dell’ente e sanzioni: cosa accade quando il Modello 231 non funziona

La responsabilità amministrativa degli enti disciplinata dal D.Lgs. 231/2001 può sorgere quando uno dei reati espressamente previsti dalla normativa viene commesso, nell’interesse o a vantaggio dell’ente, da soggetti che rivestono funzioni di rappresentanza, amministrazione o direzione oppure da persone sottoposte alla loro direzione o vigilanza. La responsabilità della società è distinta da quella della persona fisica autrice del reato e viene accertata secondo le regole previste dal decreto.

In questo contesto, un Modello 231 adottato soltanto sulla carta può risultare insufficiente a sostenere l’esclusione della responsabilità dell’impresa. Gli articoli 6 e 7 del D.Lgs. 231/2001 disciplinano condizioni differenti a seconda che il reato sia stato commesso da un soggetto apicale oppure da una persona sottoposta alla direzione o vigilanza altrui. In entrambi i casi, la concreta organizzazione preventiva assume rilievo, ma cambiano i presupposti giuridici e le modalità di valutazione della responsabilità.

Per i reati commessi da soggetti apicali, l’articolo 6 prevede, tra le condizioni per l’esclusione della responsabilità, che l’organo dirigente abbia adottato ed efficacemente attuato, prima della commissione del fatto, modelli idonei a prevenire reati della specie di quello verificatosi. La disposizione richiede anche l’affidamento della vigilanza a un organismo dotato di autonomi poteri di iniziativa e controllo, l’elusione fraudolenta del modello da parte degli autori del reato e l’assenza di omessa o insufficiente vigilanza da parte dell’organismo.

Per i reati commessi dai sottoposti, l’articolo 7 collega invece la responsabilità dell’ente all’inosservanza degli obblighi di direzione o vigilanza. Tale inosservanza è esclusa quando l’ente abbia adottato ed efficacemente attuato, prima della commissione del reato, un modello idoneo a prevenirne la specie. La distinzione è rilevante perché la valutazione giuridica non può limitarsi a verificare l’esistenza del documento, ma deve considerare il ruolo dell’autore del fatto e l’effettivo funzionamento dell’organizzazione.

Quando ricorrono i presupposti della responsabilità dell’ente, il decreto prevede sanzioni pecuniarie e, per gli illeciti nei quali sono espressamente consentite e alle condizioni stabilite dalla legge, sanzioni interdittive. Queste ultime possono comprendere l’interdizione dall’esercizio dell’attività, la sospensione o revoca di autorizzazioni funzionali alla commissione dell’illecito, il divieto di contrattare con la pubblica amministrazione, l’esclusione da agevolazioni e finanziamenti o il divieto di pubblicizzare beni e servizi. Sono previste anche la confisca e, nei casi stabiliti, la pubblicazione della sentenza.

Le conseguenze non sono automatiche per il solo fatto che il Modello 231 presenti una carenza. È necessario accertare un illecito rilevante ai sensi del decreto e verificare tutti i presupposti della responsabilità. La gravità delle eventuali conseguenze dipende dalla fattispecie contestata, dalle condizioni previste per le diverse sanzioni e dalle circostanze concretamente accertate. Un modello inefficace può però compromettere la posizione difensiva dell’impresa proprio quando diventa necessario dimostrare che l’organizzazione aveva predisposto e attuato misure preventive adeguate.

Per questa ragione, la documentazione relativa ai controlli assume un valore pratico. Verbali delle verifiche, registrazioni delle attività formative, segnalazioni di anomalie, provvedimenti disciplinari, aggiornamenti delle procedure e comunicazioni all’Organismo di Vigilanza possono contribuire a ricostruire il funzionamento del sistema. Non è sufficiente produrre documenti formalmente regolari se questi non corrispondono alle attività realmente svolte. Allo stesso tempo, l’assenza di evidenze attendibili può rendere più difficile dimostrare che le misure preventive fossero effettivamente applicate.

Le criticità del modello possono avere conseguenze anche nei rapporti commerciali. Clienti, committenti e controparti possono richiedere verifiche sul sistema di compliance, soprattutto nell’ambito di gare, qualificazioni dei fornitori o operazioni societarie. Un’impresa che non riesce a documentare l’applicazione delle proprie procedure può incontrare difficoltà nel soddisfare tali richieste, indipendentemente dall’esistenza di un procedimento ai sensi del D.Lgs. 231/2001. Occorre però distinguere questi effetti contrattuali e organizzativi dalle sanzioni previste dal decreto, che richiedono specifici presupposti normativi.

Come intervenire quando il Modello 231 esiste ma non viene realmente applicato

Quando emergono carenze nell’attuazione del Modello 231, l’intervento non dovrebbe limitarsi alla modifica del documento. Occorre verificare quali misure preventive siano effettivamente operative, quali controlli non vengano eseguiti e se le responsabilità attribuite ai diversi soggetti aziendali corrispondano alle attività concretamente svolte. Un Modello 231 inefficace richiede una valutazione delle cause organizzative che ne impediscono l’applicazione, prima ancora della revisione delle singole procedure.

Il primo passaggio consiste nel confrontare il contenuto del modello con l’organizzazione reale dell’impresa. Esaminiamo, in particolare, i processi esposti ai reati presupposto, le deleghe, i poteri autorizzativi e le modalità attraverso le quali vengono assunte e controllate le decisioni. Se una procedura prevede verifiche che nessun responsabile effettua, oppure attribuisce compiti a funzioni aziendali che non esistono più, la criticità deve essere affrontata sul piano operativo. Per approfondire gli strumenti di verifica, è utile distinguere il check-up del Modello 231 dall’audit sull’effettiva applicazione del sistema 231, che consente di esaminare il funzionamento concreto dei controlli.

Una particolare attenzione deve essere riservata alle attività nelle quali l’azienda ha già riscontrato anomalie. Pagamenti autorizzati senza verifiche, rapporti con intermediari non adeguatamente controllati, deroghe ricorrenti alle procedure di acquisto oppure irregolarità nella gestione della sicurezza possono indicare una distanza tra il modello formalmente adottato e le prassi effettive. Non tutte queste circostanze integrano necessariamente un illecito rilevante ai sensi del Decreto 231, ma possono rendere necessario un approfondimento sulle misure di prevenzione e sulla loro capacità di funzionare.

La verifica riguarda anche l’Organismo di Vigilanza. Occorre accertare se abbia ricevuto informazioni adeguate, svolto le verifiche programmate, documentato la propria attività e segnalato agli organi competenti le criticità riscontrate. L’articolo 6 del D.Lgs. 231/2001 attribuisce particolare rilievo all’autonomia dei poteri di iniziativa e controllo dell’organismo. La semplice nomina dell’OdV non dimostra che la vigilanza sia stata effettivamente esercitata. L’impresa deve quindi verificare se esistano flussi informativi funzionanti e se le osservazioni formulate dall’organismo abbiano ricevuto una risposta appropriata.

Anche la formazione del personale deve essere valutata in relazione alle responsabilità operative. La distribuzione del codice etico o la firma di un documento di presa visione non dimostrano, da sole, che amministratori, dirigenti e dipendenti conoscano le procedure applicabili alle proprie attività. Può essere necessario verificare quali istruzioni siano state effettivamente impartite, come siano state comunicate le modifiche organizzative e se il personale sia in grado di riconoscere le situazioni nelle quali deve attivare un controllo o segnalare un’anomalia.

Quando vengono accertate violazioni, assume rilievo anche il sistema disciplinare previsto dal modello. Gli articoli 6 e 7 del Decreto 231 richiedono un sistema idoneo a sanzionare il mancato rispetto delle misure indicate. La sua efficacia deve essere valutata considerando la concreta applicabilità delle disposizioni, la proporzionalità delle conseguenze e il rispetto della disciplina lavoristica. Un sistema disciplinare formalmente previsto ma sistematicamente ignorato può rappresentare un elemento di debolezza dell’organizzazione.

Le segnalazioni whistleblowing costituiscono un ulteriore possibile indicatore del funzionamento dei controlli. Quando una segnalazione riguarda la violazione di protocolli 231 o comportamenti potenzialmente riconducibili ai reati presupposto, occorre assicurare una gestione coerente con il D.Lgs. 24/2023, tutelando la riservatezza e rispettando le competenze dei soggetti coinvolti. Il coordinamento tra gestore delle segnalazioni e Organismo di Vigilanza deve consentire la circolazione delle informazioni pertinenti, nei limiti consentiti dalla normativa. Le modalità operative dipendono dall’organizzazione aziendale e dalla natura della segnalazione. Per gli aspetti procedurali è disponibile l’approfondimento su cosa fare dopo aver ricevuto una segnalazione whistleblowing.

Una volta individuate le carenze, l’azienda deve stabilire quali interventi siano necessari e con quali priorità. Può trattarsi di modificare i protocolli, ridefinire le responsabilità, rafforzare le verifiche, aggiornare la formazione oppure correggere prassi consolidate. Nei casi più complessi può essere opportuna una revisione del sistema di controllo, accompagnata da un piano di attuazione con responsabilità e tempi definiti. La correzione deve essere verificabile: non basta dichiarare che una procedura è stata aggiornata, occorre accertare che venga effettivamente rispettata.

Se sono già emersi fatti potenzialmente rilevanti ai sensi del D.Lgs. 231/2001, la valutazione richiede particolare cautela. L’azienda deve distinguere le attività necessarie per accertare quanto accaduto dagli interventi organizzativi destinati a prevenire nuove violazioni. Un adeguamento successivo non rende automaticamente efficace, per il passato, un modello che presentava carenze al momento del fatto. Gli interventi successivi possono assumere rilievo nei limiti e alle condizioni previste dalla normativa, ma devono essere esaminati in rapporto alla situazione concreta e all’eventuale procedimento in corso.

Esempio pratico: un’azienda con il Modello 231 approvato ma controlli mai effettuati

Consideriamo, a titolo esemplificativo, una società manifatturiera che abbia adottato un Modello 231 alcuni anni prima, nominando un Organismo di Vigilanza e predisponendo procedure per la selezione dei fornitori, l’autorizzazione delle spese e la gestione dei rapporti con soggetti esterni. Durante una verifica interna emerge che diverse procedure non vengono applicate regolarmente: alcuni acquisti sono autorizzati senza i controlli previsti, le attività formative non sono state aggiornate e l’OdV riceve informazioni incomplete sui processi aziendali più esposti al rischio.

In una situazione del genere, l’intervento professionale dovrebbe partire dall’esame del modello, delle deleghe, delle procedure e delle evidenze disponibili. Il confronto con amministratori e responsabili operativi consentirebbe di individuare le differenze tra le regole scritte e le attività concretamente svolte. Particolare attenzione andrebbe riservata alle deroghe abituali, perché potrebbero indicare che il sistema autorizzativo previsto dal modello non corrisponde alle modalità decisionali effettive.

La riorganizzazione potrebbe richiedere la revisione di alcuni protocolli, l’attribuzione di responsabilità più precise, il ripristino dei flussi informativi verso l’Organismo di Vigilanza e la programmazione di verifiche successive. Il risultato da perseguire sarebbe un sistema nel quale le procedure siano applicabili, i controlli documentabili e le anomalie gestite attraverso responsabilità definite. L’obiettivo non sarebbe semplicemente aggiornare il Modello 231, ma verificare che le misure preventive operino realmente nei processi aziendali, senza presumere che gli interventi eliminino ogni rischio di responsabilità.

Domande frequenti sui rischi di un Modello 231 soltanto formale

Un’azienda può essere sanzionata anche se ha già adottato il Modello 231?

Sì. L’adozione formale del Modello 231 non esclude automaticamente la responsabilità dell’ente. Se viene commesso un reato presupposto nell’interesse o a vantaggio della società, occorre verificare le condizioni previste dagli articoli 6 e 7 del D.Lgs. 231/2001. Un modello privo di effettiva attuazione può risultare insufficiente ai fini dell’esclusione della responsabilità. La presenza di carenze organizzative, però, non determina da sola l’applicazione di una sanzione.

Se il Modello 231 non viene rispettato dai dipendenti, la responsabilità ricade automaticamente sull’impresa?

No. È necessario valutare la condotta contestata, il ruolo del dipendente, l’eventuale commissione di un reato presupposto e l’adeguatezza delle misure di direzione e vigilanza. Una violazione isolata delle procedure non equivale necessariamente all’inefficacia del modello. Diversa è la situazione nella quale le irregolarità siano sistematiche, conosciute dai responsabili e tollerate dall’organizzazione.

La presenza di un Organismo di Vigilanza è sufficiente a dimostrare che il Modello 231 funziona?

No. La nomina dell’OdV deve essere accompagnata dall’effettivo esercizio delle funzioni di vigilanza. Assumono rilievo l’autonomia dell’organismo, i poteri di iniziativa e controllo, i flussi informativi, le verifiche effettuate e la gestione delle criticità rilevate. Un Organismo di Vigilanza nominato formalmente ma privo delle condizioni necessarie per operare può compromettere l’effettività del sistema 231.

È possibile correggere un Modello 231 inefficace senza predisporne uno completamente nuovo?

Sì, quando le carenze possono essere risolte attraverso interventi mirati. La scelta dipende dall’adeguatezza della struttura esistente, dai rischi aziendali e dalla gravità delle criticità riscontrate. Può essere sufficiente rivedere determinati protocolli, rafforzare i controlli o riorganizzare i flussi informativi. Se invece il modello non rappresenta correttamente l’organizzazione e le attività sensibili, può rendersi necessaria una revisione più ampia.

Cosa deve fare l’azienda se scopre che il Modello 231 non è mai stato realmente applicato?

È opportuno avviare tempestivamente una verifica delle procedure, dei controlli e delle attività di vigilanza, individuando le carenze e gli interventi necessari. Se emergono anche possibili illeciti, occorre valutare separatamente le iniziative di accertamento e le eventuali implicazioni legali. Una valutazione professionale consente di stabilire quali misure correttive adottare e come documentarne l’effettiva attuazione, tenendo conto delle caratteristiche dell’impresa e dei rischi concretamente presenti.

Modello 231 inefficace o soltanto formale: richiedi una valutazione legale per la tua azienda

Se la tua azienda ha adottato un Modello 231 che non viene applicato regolarmente, presenta procedure non rispettate oppure non dispone di evidenze sufficienti sui controlli effettuati, è opportuno verificare se il sistema organizzativo sia concretamente adeguato ai rischi dell’attività. La presenza di un documento formalmente approvato non consente, da sola, di valutare l’efficacia delle misure preventive né le possibili conseguenze di eventuali carenze.

Noi dello Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nell’esame delle criticità del Modello 231, nella valutazione dei rischi di responsabilità dell’ente e nell’individuazione degli interventi necessari per migliorare l’attuazione delle procedure e il funzionamento dei controlli.

Se desideri verificare la situazione della tua impresa, richiedi una valutazione legale del Modello 231 della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le problematiche da approfondire e le possibili modalità di assistenza professionale.