Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che ha già adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 deve poter verificare se quel documento corrisponde ancora alla propria organizzazione e se le misure previste vengono effettivamente applicate. Il check-up del Modello 231 serve a individuare eventuali carenze nella mappatura dei rischi, nei protocolli di prevenzione, nei controlli interni e nell’attività dell’Organismo di Vigilanza, prima che tali criticità assumano rilevanza in occasione di un illecito o di una contestazione.
La necessità di una verifica può emergere dopo una riorganizzazione aziendale, l’introduzione di nuovi processi, modifiche normative, segnalazioni interne oppure semplicemente perché il modello non viene esaminato da diversi anni. Per amministratori e responsabili compliance, il problema consiste nel comprendere se il sistema 231 sia ancora idoneo rispetto ai rischi dell’impresa e se esistano evidenze della sua concreta attuazione. Una valutazione professionale consente di distinguere le irregolarità documentali dalle carenze organizzative che richiedono interventi più approfonditi.
Quando è necessario effettuare un check-up del Modello 231 esistente
Il D.Lgs. 231/2001 attribuisce rilevanza all’adozione e all’efficace attuazione di modelli organizzativi idonei a prevenire reati della specie di quello verificatosi. Il riferimento normativo non riguarda quindi soltanto l’esistenza di un documento approvato dall’organo dirigente, ma anche il funzionamento delle misure di prevenzione predisposte dall’impresa. Un modello adeguato al momento della sua adozione può diventare insufficiente quando cambiano le attività aziendali, i processi decisionali o i rischi ai quali la società è esposta.
Il controllo periodico del Modello 231 permette di confrontare l’organizzazione descritta nei documenti con quella effettivamente operativa. Pensiamo a una società che abbia ampliato la propria attività commerciale, introdotto nuovi fornitori, modificato le deleghe degli amministratori o affidato all’esterno funzioni precedentemente gestite internamente. Se questi cambiamenti non sono stati considerati nella valutazione dei rischi, alcuni processi potrebbero risultare privi di protocolli adeguati oppure essere regolati da procedure non più corrispondenti alle responsabilità effettive.
Non esiste una scadenza annuale generalizzata imposta dal D.Lgs. 231/2001 per la revisione integrale di ogni modello. L’articolo 7, comma 4, richiede però verifiche periodiche e l’eventuale modifica del modello quando vengono scoperte violazioni significative delle prescrizioni oppure intervengono mutamenti nell’organizzazione o nell’attività. La frequenza e l’estensione dei controlli devono quindi essere definite considerando le caratteristiche dell’impresa, l’esposizione ai reati presupposto e le modifiche intervenute. Un calendario di verifiche documentato permette anche di ricostruire le attività svolte e le decisioni assunte dagli organi competenti.
Particolare attenzione merita il Modello 231 non aggiornato da anni. Il semplice trascorrere del tempo non dimostra automaticamente la sua inidoneità, ma rende necessario accertare se siano stati recepiti i cambiamenti normativi pertinenti e se le procedure siano rimaste coerenti con l’attività aziendale. La verifica deve riguardare anche l’eventuale introduzione di nuovi reati presupposto, senza presumere che ogni modifica legislativa comporti necessariamente la riscrittura dell’intero modello.
Un check-up può essere opportuno anche quando l’Organismo di Vigilanza segnala anomalie ricorrenti, i responsabili aziendali non riescono a dimostrare l’esecuzione dei controlli previsti oppure emergono violazioni delle procedure interne. In queste circostanze occorre accertare se si tratti di episodi isolati, difficoltà applicative o difetti strutturali del sistema di prevenzione. La valutazione diventa particolarmente delicata quando l’impresa abbia ricevuto una segnalazione relativa a possibili illeciti o sia coinvolta in accertamenti che potrebbero interessare la responsabilità dell’ente.
La verifica può essere richiesta anche da clienti, committenti o potenziali investitori nell’ambito di procedure di qualificazione dei fornitori e due diligence. In tali situazioni non è sufficiente esibire il modello approvato: può essere necessario documentare gli aggiornamenti, l’attività dell’Organismo di Vigilanza, la formazione del personale e l’applicazione dei protocolli pertinenti. Per comprendere quando un intervento debba limitarsi a specifiche modifiche oppure richieda una revisione più estesa, abbiamo approfondito anche quando è necessario aggiornare il Modello 231.
Cosa controllare nel Modello 231: mappatura dei rischi, protocolli, procedure e Organismo di Vigilanza
Il primo passaggio di un check-up del Modello organizzativo 231 consiste nell’esaminare la documentazione vigente e ricostruire il sistema di prevenzione adottato dall’azienda. La verifica comprende normalmente la parte generale e le parti speciali del modello, la mappatura delle attività sensibili, i protocolli, il codice etico, il sistema disciplinare, le deleghe e procure, i flussi informativi e la documentazione relativa all’Organismo di Vigilanza. Questi elementi devono essere valutati nel loro insieme, perché una procedura formalmente corretta può risultare inefficace se non è conosciuta dai destinatari o se manca un controllo sulla sua applicazione.
La mappatura dei rischi 231 rappresenta uno dei principali oggetti della verifica. Occorre accertare che siano state individuate le attività nell’ambito delle quali possono essere commessi reati rilevanti ai sensi del decreto e che l’analisi tenga conto delle caratteristiche concrete dell’impresa. Una società che intrattiene rapporti frequenti con la pubblica amministrazione presenta processi sensibili differenti rispetto a un’impresa manifatturiera esposta soprattutto a rischi in materia di salute e sicurezza sul lavoro, ambiente o gestione dei rapporti commerciali. L’analisi non deve limitarsi all’elenco astratto dei reati presupposto, ma collegare ciascun rischio pertinente alle attività, ai soggetti coinvolti e ai controlli effettivamente disponibili.
È necessario esaminare anche il metodo con cui il rischio è stato valutato. Un risk assessment che non consideri le modifiche dei processi aziendali, le anomalie emerse durante i controlli o l’efficacia delle misure esistenti potrebbe fornire una rappresentazione incompleta dell’esposizione dell’ente. Quando emergono lacune, occorre distinguere tra rischi non identificati, rischi valutati in modo non adeguato e presidi preventivi che risultano insufficienti nella pratica. Per gli aspetti metodologici relativi all’individuazione delle attività sensibili è disponibile il nostro approfondimento sulla mappatura dei rischi nel Modello 231.
La seconda area di controllo riguarda i protocolli e le procedure di prevenzione. Il check-up deve verificare se siano individuate le responsabilità decisionali, le autorizzazioni necessarie, le modalità di documentazione delle operazioni e i controlli previsti nei processi sensibili. Occorre confrontare le prescrizioni del modello con le prassi effettivamente seguite dai dipendenti e dai dirigenti. Se una procedura prevede una doppia autorizzazione per determinate operazioni, ma nella pratica le decisioni vengono assunte da un solo soggetto senza verifiche successive, la difformità deve essere esaminata per comprenderne le cause e la rilevanza rispetto ai rischi presidiati.
Un ulteriore controllo riguarda la coerenza tra deleghe, procure, organigramma e responsabilità operative. Le attribuzioni formalmente conferite devono corrispondere, per quanto rilevante, ai poteri effettivamente esercitati e ai controlli previsti. La verifica interessa anche la gestione delle risorse finanziarie, la tracciabilità delle operazioni e la separazione delle funzioni quando necessaria rispetto al rischio. Non esiste un assetto identico per tutte le imprese: nelle organizzazioni di dimensioni ridotte alcune funzioni possono essere concentrate, ma occorre valutare quali misure compensative siano concretamente idonee.
Il codice etico e il sistema disciplinare 231 devono essere esaminati per accertare che le regole di comportamento siano coerenti con i rischi aziendali e che le violazioni delle prescrizioni del modello possano essere affrontate attraverso un sistema sanzionatorio appropriato. Il controllo non si esaurisce nella presenza dei documenti: interessa anche la loro comunicazione ai destinatari, il coordinamento con la disciplina lavoristica applicabile e le modalità con cui l’azienda rileva e gestisce eventuali inosservanze.
Una parte specifica del check-up riguarda il funzionamento dell’Organismo di Vigilanza. Occorre verificare l’atto di nomina, la composizione, i requisiti di autonomia e indipendenza, le risorse disponibili e la continuità dell’attività di vigilanza. L’esame può comprendere il piano delle verifiche, i verbali delle riunioni, le relazioni periodiche agli organi societari e la documentazione relativa alle anomalie rilevate. La presenza formale dell’OdV non permette, da sola, di stabilire se il sistema di vigilanza abbia operato in modo adeguato.
Devono essere controllati anche i flussi informativi verso l’Organismo di Vigilanza. I responsabili delle funzioni aziendali devono conoscere quali informazioni trasmettere, con quali modalità e secondo le tempistiche previste. Quando il modello stabilisce obblighi informativi che non vengono rispettati, è necessario comprendere se il problema dipenda da procedure poco chiare, insufficiente formazione o carenze nell’organizzazione dei controlli.
Il check-up deve infine considerare il coordinamento tra Modello 231 e sistema di segnalazione whistleblowing, nei casi in cui trovano applicazione le relative disposizioni. Occorre verificare la coerenza delle procedure con il D.Lgs. 24/2023, la disciplina della riservatezza, la gestione delle segnalazioni e i rapporti informativi con l’OdV, nel rispetto delle competenze attribuite ai diversi soggetti. Il controllo deve evitare sovrapposizioni improprie tra il gestore delle segnalazioni e l’Organismo di Vigilanza. Per gli aspetti relativi agli obblighi e alle modalità di gestione delle segnalazioni è possibile consultare la nostra guida al whistleblowing aziendale.
La valutazione deve comprendere anche la formazione del personale e le evidenze dell’attuazione del modello. Registri delle attività formative, comunicazioni interne, controlli eseguiti, rilievi formulati e interventi correttivi documentati consentono di verificare se le misure previste siano state effettivamente introdotte nell’organizzazione. Quando emergono scostamenti, il professionista incaricato deve valutarne la gravità, individuare le possibili cause e distinguere le correzioni documentali dagli interventi necessari sui processi aziendali.
Come individuare le carenze del Modello 231 e quali interventi correttivi adottare
Una volta esaminati i documenti e verificata l’applicazione delle procedure, il check-up deve consentire di stabilire quali carenze del Modello 231 richiedano un intervento, con quale priorità e sotto la responsabilità di quali funzioni aziendali. Non tutte le anomalie hanno la stessa rilevanza. Una procedura che contiene riferimenti a un organigramma superato presenta un problema diverso rispetto alla totale assenza di controlli su un processo esposto a rischi di commissione di reati presupposto. La valutazione deve considerare la natura della carenza, il rischio interessato, i presidi alternativi eventualmente presenti e le conseguenze che potrebbero derivare dal suo mancato superamento.
Nel nostro approccio alla verifica di adeguatezza del Modello 231, distinguiamo le difformità documentali dalle criticità che incidono sul funzionamento del sistema di prevenzione. Le prime possono riguardare riferimenti normativi non aggiornati, procedure non coordinate o documenti che non rappresentano correttamente l’organizzazione attuale. Le seconde possono emergere quando mancano controlli su attività sensibili, le deleghe non corrispondono ai poteri effettivamente esercitati, l’Organismo di Vigilanza non riceve le informazioni previste oppure le violazioni delle procedure rimangono prive di adeguata gestione. Anche una carenza apparentemente formale può assumere maggiore rilievo quando impedisce di individuare responsabilità, ricostruire decisioni o dimostrare l’esecuzione dei controlli.
Per questo motivo, un check-up non dovrebbe concludersi con un semplice giudizio di conformità o non conformità. È opportuno predisporre una relazione di verifica del Modello 231 che descriva l’ambito dell’esame, la documentazione analizzata, le attività svolte, le criticità riscontrate e gli interventi proposti. Quando le verifiche sono effettuate a campione, devono essere indicati anche i relativi limiti. Il documento permette agli amministratori di conoscere le condizioni del sistema organizzativo e di assumere decisioni motivate, distinguendo gli interventi immediatamente necessari da quelli programmabili.
Le misure correttive possono comprendere l’aggiornamento della mappatura dei rischi, la revisione di specifici protocolli, la modifica dei flussi informativi verso l’OdV, l’introduzione di controlli aggiuntivi o il rafforzamento della formazione. In altri casi è necessario intervenire sull’attribuzione delle responsabilità, sulla documentazione delle operazioni o sulle modalità di verifica adottate dalle funzioni aziendali. Non ogni carenza richiede di riscrivere integralmente il Modello 231: l’estensione della revisione dipende dal rapporto tra le criticità individuate e l’assetto complessivo del sistema di prevenzione.
Occorre prestare particolare attenzione alle situazioni nelle quali il modello risulta formalmente completo, ma l’azienda non dispone di evidenze sufficienti della sua applicazione. L’articolo 6 del D.Lgs. 231/2001 attribuisce rilievo all’efficace attuazione del modello, mentre l’articolo 7 richiama la necessità di verifiche periodiche e di un sistema disciplinare idoneo. La documentazione delle attività svolte assume quindi un valore concreto: verbali, report, registrazioni dei controlli e interventi correttivi consentono di ricostruire il funzionamento dell’organizzazione. La sola produzione di documenti, però, non sostituisce l’effettiva esecuzione delle misure preventive.
Quando emergono anomalie particolarmente rilevanti, come possibili illeciti commessi nell’interesse o a vantaggio dell’ente, la verifica deve essere coordinata con una valutazione legale della situazione. La responsabilità amministrativa prevista dal D.Lgs. 231/2001 richiede specifici presupposti e non deriva automaticamente da qualsiasi irregolarità organizzativa. Allo stesso modo, l’esistenza di un modello non determina automaticamente l’esclusione della responsabilità della società. Occorre considerare il reato ipotizzato, la posizione dei soggetti coinvolti, le condizioni previste dalla normativa e l’idoneità del sistema preventivo rispetto alla fattispecie concreta.
La presenza di un procedimento o di una contestazione richiede anche particolare cautela nella gestione della documentazione. Gli interventi correttivi successivi devono essere registrati in modo trasparente, senza alterare le evidenze relative alle attività precedenti. Un aggiornamento effettuato dopo la scoperta di un illecito può avere una propria rilevanza, ma non dimostra retroattivamente che il modello fosse idoneo ed efficacemente attuato al momento dei fatti. La valutazione deve quindi distinguere la situazione organizzativa preesistente dalle misure adottate successivamente.
Un altro elemento da controllare è l’effettiva realizzazione delle azioni correttive. La predisposizione di un piano di miglioramento non è sufficiente quando le misure rimangono prive di attuazione. È opportuno individuare i responsabili degli interventi, definire tempistiche proporzionate alla gravità delle criticità e prevedere una successiva verifica della loro esecuzione. Gli organi competenti devono poter conoscere le carenze rimaste aperte e le ragioni degli eventuali ritardi. Questo passaggio permette di trasformare il check-up del Modello 231 in un’attività di controllo effettiva, anziché in una revisione limitata alla documentazione.
La verifica può anche far emergere la necessità di un approfondimento più esteso sui processi aziendali. In queste circostanze è utile distinguere il controllo generale dell’adeguatezza del modello dall’audit del Modello 231 finalizzato a verificarne l’effettiva applicazione. Il primo permette di individuare le aree che richiedono attenzione; il secondo può approfondire, attraverso verifiche operative e riscontri documentali, il funzionamento concreto dei presidi di prevenzione.
Esempio pratico: check-up di un Modello 231 dopo una riorganizzazione aziendale
Consideriamo, a titolo esemplificativo, una società manifatturiera che abbia adottato un Modello 231 alcuni anni prima e che, nel frattempo, abbia ampliato la produzione, introdotto nuovi fornitori e modificato le responsabilità dei dirigenti. Il modello continua a essere formalmente in vigore, ma la direzione non è certa che la mappatura dei rischi e le procedure di controllo corrispondano ancora all’organizzazione attuale.
In una situazione di questo tipo, il nostro intervento professionale partirebbe dall’esame del modello vigente, delle successive modifiche e della documentazione relativa alle attività dell’Organismo di Vigilanza. Il confronto con i responsabili delle funzioni aziendali permetterebbe di verificare come vengono effettivamente gestiti gli acquisti, le autorizzazioni, i rapporti con i fornitori e i controlli sui processi produttivi. Particolare attenzione sarebbe dedicata alle attività che hanno subito modifiche e alla presenza di protocolli adeguati rispetto ai rischi di reato pertinenti.
Qualora emergessero procedure non più coerenti con le responsabilità operative o controlli insufficientemente documentati, predisporremmo una valutazione delle carenze e delle possibili misure correttive da sottoporre agli organi aziendali competenti. L’intervento potrebbe richiedere aggiornamenti mirati, una revisione della mappatura dei rischi o ulteriori verifiche operative. La scelta dipenderebbe dalle criticità effettivamente riscontrate, evitando di considerare automaticamente necessaria la sostituzione integrale del modello esistente.
Domande frequenti sul check-up del Modello 231
Ogni quanto tempo bisogna effettuare un check-up del Modello 231?
Il D.Lgs. 231/2001 non stabilisce una frequenza annuale obbligatoria per la revisione integrale del modello. Sono però richieste verifiche periodiche e modifiche quando emergono violazioni significative delle prescrizioni oppure cambiamenti nell’organizzazione o nell’attività. La frequenza dei controlli deve essere proporzionata ai rischi aziendali e alle caratteristiche dell’impresa. È opportuno documentare le verifiche effettuate e le decisioni assunte.
Quali documenti deve mettere a disposizione l’azienda per il check-up?
Normalmente occorrono il Modello 231 vigente, le eventuali versioni precedenti, la mappatura dei rischi, i protocolli, il codice etico, il sistema disciplinare, l’organigramma, le deleghe e procure e la documentazione relativa all’Organismo di Vigilanza. Possono essere necessari anche verbali, relazioni, registri della formazione e documenti che attestino l’esecuzione dei controlli. L’elenco definitivo dipende dall’attività aziendale e dall’estensione della verifica.
Il check-up del Modello 231 può essere affidato a un professionista esterno?
Sì. L’azienda può incaricare un avvocato o un consulente con competenze specifiche in materia di responsabilità degli enti e organizzazione aziendale. Una verifica indipendente del Modello 231 può essere particolarmente utile quando occorre valutare procedure predisposte internamente, individuare carenze non rilevate nei controlli ordinari o fornire agli amministratori un quadro documentato delle criticità. L’incarico esterno non trasferisce automaticamente al professionista le responsabilità attribuite dalla normativa agli organi societari.
Quanto costa un check-up del Modello 231 esistente?
Il costo dipende dalle dimensioni dell’impresa, dal numero dei processi sensibili, dalla complessità organizzativa, dalla documentazione disponibile e dall’ampiezza delle verifiche richieste. Un controllo prevalentemente documentale comporta attività differenti rispetto a un audit che comprenda interviste ai responsabili, esame delle operazioni e verifiche sull’applicazione dei protocolli. Per formulare un preventivo attendibile è quindi necessario definire preventivamente l’oggetto dell’incarico e le attività professionali da svolgere.
Se il check-up rileva carenze, l’azienda deve necessariamente rifare tutto il Modello 231?
No. Le criticità possono richiedere interventi circoscritti, come l’aggiornamento di specifiche procedure, la revisione dei flussi informativi o il rafforzamento dei controlli. Quando invece la mappatura dei rischi è profondamente superata o il sistema organizzativo non corrisponde più all’attività aziendale, può essere necessaria una revisione più estesa. La decisione deve essere assunta sulla base delle carenze effettivamente riscontrate e della loro incidenza sull’idoneità e sull’efficace attuazione del modello.
Richiedi una valutazione del Modello 231 esistente della tua azienda
Un Modello 231 già adottato non dovrebbe essere considerato automaticamente adeguato soltanto perché formalmente approvato. Cambiamenti organizzativi, procedure non applicate, rischi non aggiornati o carenze nell’attività di vigilanza possono rendere necessario un controllo professionale per comprendere se il sistema di prevenzione risponda ancora alle esigenze dell’impresa.
Presso lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le aziende nella valutazione giuridica e organizzativa dei sistemi di compliance, nell’esame dei Modelli 231 esistenti e nell’individuazione degli interventi necessari in relazione alle criticità riscontrate. La verifica viene impostata considerando le caratteristiche dell’attività, i rischi di reato pertinenti, le procedure effettivamente applicate e il funzionamento dei controlli interni.
Se la tua azienda ha adottato un Modello 231 che non viene verificato da tempo, ha modificato la propria organizzazione oppure desidera accertare l’adeguatezza delle misure di prevenzione, richiedi una valutazione del Modello 231 della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze di verifica e valutare le modalità di assistenza professionale più appropriate.
