Articolo a cura di: Redazione - Studio Legale Calvello

Predisporre un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 significa individuare i rischi di reato concretamente presenti nell’attività aziendale e definire procedure, responsabilità e controlli capaci di prevenirli. Non basta acquistare un documento standard o raccogliere procedure già esistenti: il Modello deve corrispondere all’organizzazione effettiva dell’impresa ed essere concretamente attuato.

Per amministratori e imprenditori, la questione si presenta spesso quando l’azienda cresce, partecipa a gare, riceve richieste di compliance da clienti e committenti oppure intende ridurre l’esposizione alla responsabilità prevista dal Decreto 231. La predisposizione richiede un’analisi giuridica e organizzativa specifica, perché un Modello formalmente completo può risultare inidoneo se non affronta i rischi effettivi della società.

Da dove iniziare per predisporre un Modello 231 realmente adeguato all’azienda

Il primo passaggio consiste nel comprendere come funziona concretamente l’impresa. Prima di redigere protocolli e procedure occorre esaminare l’attività svolta, la struttura societaria, l’organigramma, le deleghe, i poteri di firma e i processi attraverso i quali vengono assunte le decisioni. Una società manifatturiera con stabilimenti produttivi, numerosi fornitori e rapporti con la pubblica amministrazione presenta un’esposizione ai rischi diversa da quella di una società di servizi con pochi dipendenti e attività prevalentemente amministrativa.

La predisposizione del Modello 231 deve quindi partire da una ricognizione dell’organizzazione aziendale e delle attività potenzialmente esposte ai reati presupposto. È necessario comprendere chi autorizza i pagamenti, chi seleziona i fornitori, come vengono gestiti gli appalti, quali controlli esistono sulle operazioni contabili e come sono organizzate le responsabilità in materia di salute e sicurezza sul lavoro. L’analisi deve considerare anche le attività affidate a soggetti esterni, quando possono generare rischi rilevanti per la società.

Questa fase richiede normalmente l’esame della documentazione aziendale e il confronto con amministratori, dirigenti e responsabili delle funzioni coinvolte. Le interviste permettono di verificare se le procedure formalmente previste corrispondano alle modalità operative effettive. Una delega può risultare correttamente predisposta sulla carta, ma essere accompagnata da prassi decisionali che concentrano poteri e controlli nella stessa persona. Analogamente, una procedura di autorizzazione degli acquisti può esistere senza che siano conservate evidenze sufficienti della sua applicazione.

Il risultato di questa ricognizione costituisce la base per la mappatura delle attività sensibili e il risk assessment 231. Occorre individuare quali fattispecie di reato contemplate dal Decreto siano pertinenti rispetto all’attività dell’impresa, attraverso quali processi potrebbero verificarsi e quali presidi siano già disponibili. Non è necessario trattare indistintamente tutti i reati presupposto: l’analisi deve essere motivata, documentata e proporzionata alle caratteristiche dell’organizzazione.

È altrettanto importante distinguere l’adozione del Modello 231 dagli obblighi giuridici direttamente imposti all’impresa. Il D.Lgs. 231/2001 non stabilisce un obbligo generalizzato di adozione per tutte le società. La scelta può però assumere particolare rilievo rispetto all’esposizione ai rischi, ai requisiti applicabili in determinati settori o ai rapporti contrattuali con committenti che richiedono specifiche garanzie organizzative. Per approfondire questa valutazione, abbiamo trattato separatamente quando adottare un Modello 231 e a cosa serve per l’azienda.

Quando l’impresa decide di procedere, il progetto deve avere un perimetro definito: funzioni coinvolte, documentazione da acquisire, attività di analisi, responsabilità interne e modalità di approvazione. La direzione aziendale deve partecipare alle scelte organizzative, perché il professionista incaricato può individuare rischi e proporre presidi, ma la loro concreta integrazione nei processi richiede decisioni e risorse dell’impresa.

Come redigere il Modello 231: mappatura dei rischi, parte generale, parti speciali e protocolli

Una volta ricostruiti i processi aziendali, la predisposizione entra nella fase di progettazione dei controlli. Gli articoli 6 e 7 del D.Lgs. 231/2001 individuano requisiti che devono essere considerati nella costruzione di un sistema organizzativo idoneo, con particolare attenzione alle attività nelle quali possono essere commessi reati, ai protocolli decisionali, alla gestione delle risorse finanziarie e ai meccanismi di vigilanza e disciplina.

La mappatura dei rischi 231 deve collegare ogni attività sensibile alle possibili modalità di commissione dei reati e ai controlli esistenti. Per esempio, nei rapporti con la pubblica amministrazione occorre esaminare le autorizzazioni, la partecipazione alle gare, le interlocuzioni con funzionari pubblici e la gestione di eventuali intermediari. Nei processi amministrativo-contabili assumono rilievo la tracciabilità delle operazioni, le verifiche documentali, la separazione tra chi dispone e chi autorizza determinate attività e la gestione delle anomalie.

La valutazione non può fermarsi alla descrizione dei rischi astratti. Deve accertare se i controlli siano effettivamente applicabili, se le responsabilità siano attribuite in modo chiaro e se rimangano vulnerabilità che richiedono interventi correttivi. Le misure possono consistere nella modifica di una procedura esistente, nell’introduzione di autorizzazioni preventive, nella formalizzazione di verifiche periodiche o nella definizione di obblighi di documentazione. Il Modello deve indicare come il rischio viene governato nell’attività quotidiana, evitando prescrizioni generiche difficilmente verificabili.

La documentazione viene normalmente organizzata in una parte generale e in parti speciali. La parte generale del Modello 231 descrive l’assetto complessivo del sistema, i principi organizzativi, le modalità di attuazione, i rapporti con l’Organismo di Vigilanza, i flussi informativi e i meccanismi di aggiornamento. Le parti speciali disciplinano invece le attività sensibili e i presidi preventivi riferiti alle categorie di reati concretamente pertinenti.

Accanto a questi documenti devono essere predisposti o coordinati il codice etico, il sistema disciplinare e i protocolli operativi. Il codice etico stabilisce principi di comportamento coerenti con i rischi dell’impresa, mentre il sistema disciplinare deve prevedere conseguenze per le violazioni del Modello nel rispetto della disciplina applicabile ai diversi destinatari. I protocolli traducono le misure preventive in regole operative, individuando responsabilità, autorizzazioni, controlli e modalità di conservazione delle evidenze.

Particolare attenzione richiede la gestione delle risorse finanziarie, espressamente considerata dall’articolo 6 del Decreto. Occorre valutare i poteri di spesa, le autorizzazioni, la documentazione dei pagamenti e i controlli sulle operazioni anomale, evitando che il sistema dipenda esclusivamente dall’iniziativa di un singolo responsabile. Le procedure devono essere proporzionate all’impresa: una struttura di dimensioni ridotte può adottare presidi più semplici, purché siano coerenti con i rischi individuati e permettano verifiche effettive.

La predisposizione deve considerare anche l’Organismo di Vigilanza, cui il Decreto attribuisce compiti di vigilanza sul funzionamento e sull’osservanza del Modello e di cura del suo aggiornamento. È necessario definire flussi informativi, accesso alla documentazione e modalità di segnalazione delle anomalie. Nei casi in cui ricorrano le condizioni previste dalla normativa, il sistema deve inoltre coordinarsi con la disciplina del whistleblowing, evitando sovrapposizioni improprie tra i soggetti incaricati e assicurando le garanzie di riservatezza previste dal D.Lgs. 24/2023.

Per le imprese che dispongono già di procedure di qualità, sicurezza, ambiente o controlli interni, la redazione del Modello non richiede necessariamente di ricostruire ogni processo da zero. È possibile valorizzare presidi esistenti dopo averne verificato l’idoneità rispetto ai rischi 231. Una certificazione o una procedura aziendale, però, non sostituisce automaticamente la valutazione richiesta dal Decreto.

La qualità della redazione dipende soprattutto dalla corrispondenza tra rischi individuati, misure preventive e organizzazione reale. Il testo deve permettere ai responsabili aziendali di comprendere quali comportamenti siano richiesti e a chi spetti verificarli. È su questa corrispondenza che si costruiscono le successive attività di attuazione e controllo del Modello.

Approvazione e attuazione del Modello 231: responsabilità degli amministratori, Organismo di Vigilanza e controlli

La predisposizione del Modello 231 non termina con la redazione della documentazione. Una volta definiti i rischi e i protocolli preventivi, occorre verificare che le misure individuate possano essere effettivamente applicate dall’impresa. Un Modello formalmente adottato, ma non concretamente attuato, può risultare inidoneo a svolgere la funzione preventiva prevista dal D.Lgs. 231/2001. La distinzione assume rilievo soprattutto quando viene contestato alla società un reato presupposto e occorre valutare l’efficacia dell’organizzazione esistente al momento dei fatti.

L’approvazione del Modello compete all’organo dirigente della società, secondo il relativo assetto di governance. Nelle società amministrate da un consiglio di amministrazione, l’adozione viene normalmente formalizzata mediante una deliberazione che approva il documento e dispone gli interventi necessari alla sua attuazione. Nelle società con amministratore unico, la decisione deve essere assunta e documentata secondo le regole applicabili. La delibera costituisce un passaggio formale necessario, ma non dimostra da sola l’effettiva applicazione delle procedure.

Prima dell’approvazione è opportuno verificare che i protocolli siano coerenti con i poteri attribuiti alle diverse funzioni aziendali, che i responsabili dispongano delle risorse necessarie e che siano stati individuati i soggetti incaricati dei controlli. Se, per esempio, una procedura prevede la verifica preventiva dei fornitori, occorre stabilire chi debba effettuarla, quali documenti acquisire, come registrare l’esito e quali conseguenze derivino dalla presenza di anomalie. Senza queste indicazioni, il controllo rischia di rimanere una previsione astratta.

Un ulteriore passaggio riguarda l’istituzione dell’Organismo di Vigilanza (OdV), nei termini previsti dall’articolo 6 del D.Lgs. 231/2001. L’organismo deve disporre di autonomi poteri di iniziativa e controllo e possedere caratteristiche coerenti con le funzioni affidate, tenendo conto dell’autonomia, dell’indipendenza, della professionalità e della continuità d’azione richieste dalla sua attività. La composizione deve essere valutata in relazione alle dimensioni e alla complessità dell’impresa, considerando anche le specifiche disposizioni che consentono, negli enti di piccole dimensioni, l’esercizio dei compiti di vigilanza direttamente da parte dell’organo dirigente.

Il Modello deve disciplinare i rapporti tra l’OdV e le funzioni aziendali, prevedendo flussi informativi che consentano di conoscere violazioni delle procedure, operazioni anomale e modifiche organizzative rilevanti. Devono essere definite le modalità di accesso ai documenti, la periodicità delle comunicazioni e le procedure per affrontare eventuali criticità. Quando l’impresa è soggetta alla disciplina sul whistleblowing, il coordinamento con il sistema di gestione delle segnalazioni deve rispettare le competenze dei diversi soggetti e le garanzie di riservatezza. Le relative regole operative sono approfondite nella nostra guida al whistleblowing aziendale.

L’attuazione richiede anche la comunicazione del Modello ai destinatari e una formazione differenziata in base alle responsabilità. Un responsabile amministrativo esposto a rischi di reati societari o tributari deve conoscere i controlli applicabili alle proprie attività; chi gestisce acquisti e rapporti con fornitori deve comprendere le procedure autorizzative e gli obblighi di tracciabilità. La formazione deve essere documentata e aggiornata quando cambiano i rischi o le regole operative.

Occorre infine predisporre un sistema di verifica che permetta di accertare l’osservanza dei protocolli e individuare eventuali carenze. La conservazione delle autorizzazioni, dei verbali, dei controlli effettuati e delle comunicazioni rilevanti consente di ricostruire il funzionamento dell’organizzazione. L’efficace attuazione del Modello 231 richiede verifiche periodiche e modifiche quando emergono violazioni significative o mutamenti dell’organizzazione e dell’attività, come previsto dall’articolo 7 del Decreto. L’introduzione di nuovi processi aziendali, l’acquisizione di una società o una modifica delle deleghe possono quindi rendere necessaria una nuova valutazione dei rischi e dei relativi presidi.

Queste attività assumono particolare importanza rispetto alla responsabilità amministrativa dell’ente. Il Modello non costituisce una protezione automatica contro le conseguenze di un reato commesso nell’interesse o a vantaggio della società. La sua eventuale efficacia esimente dipende dai presupposti previsti dal Decreto, che distinguono anche la posizione dei soggetti apicali da quella dei soggetti sottoposti alla loro direzione o vigilanza. Per questa ragione, nella predisposizione del sistema organizzativo occorre considerare fin dall’inizio come documentarne l’adozione, l’attuazione e il funzionamento effettivo.

Esempio pratico: predisposizione del Modello 231 in un’azienda manifatturiera con procedure già esistenti

Si consideri il caso esemplificativo di una società manifatturiera che decide di predisporre un Modello 231 dopo aver ricevuto richieste di documentazione organizzativa da parte di alcuni importanti committenti. L’azienda dispone già di procedure per gli acquisti, la sicurezza sul lavoro e la gestione amministrativa, ma non ha mai effettuato una mappatura organica dei rischi rilevanti ai sensi del D.Lgs. 231/2001.

La ricognizione iniziale permette di individuare alcune criticità: determinate operazioni vengono autorizzate senza criteri formalizzati, i controlli sui fornitori non sono documentati in modo uniforme e alcune responsabilità operative risultano distribuite tra più funzioni senza una chiara attribuzione. Il problema non consiste necessariamente nell’assenza di regole, ma nella difficoltà di dimostrare come queste siano applicate e quali rischi siano effettivamente presidiate.

Un possibile intervento professionale consiste nell’esaminare i processi aziendali, individuare le attività sensibili, valutare i controlli già disponibili e predisporre protocolli specifici per le aree maggiormente esposte. La parte generale e le parti speciali vengono costruite sulla base delle risultanze dell’analisi, coordinando il sistema disciplinare, i flussi informativi verso l’Organismo di Vigilanza e le attività formative. L’attenzione maggiore riguarda l’integrazione delle nuove prescrizioni nelle procedure quotidiane, evitando duplicazioni e adempimenti che i responsabili non sarebbero concretamente in grado di rispettare.

L’esempio mostra perché la redazione di un Modello 231 personalizzato richiede di conoscere l’organizzazione reale dell’impresa. La documentazione rappresenta il risultato di un’analisi dei rischi e delle misure preventive, mentre la sua efficacia dipende anche dalle successive decisioni organizzative e dalla concreta attuazione dei controlli.

Domande frequenti sulla predisposizione del Modello organizzativo 231

Un’azienda può predisporre autonomamente il Modello 231?

Sì. La normativa non impone che la redazione sia affidata necessariamente a un avvocato o a un consulente esterno. L’impresa deve però disporre delle competenze necessarie per individuare i reati presupposto pertinenti, valutare i rischi e predisporre protocolli adeguati. Il ricorso a un professionista specializzato può essere opportuno quando l’organizzazione presenta processi complessi, numerose attività sensibili o carenze nei controlli interni. La responsabilità dell’adozione e dell’attuazione del Modello rimane in capo all’organo dirigente.

Quanto tempo occorre per predisporre un Modello 231 completo?

Non esiste una durata stabilita dalla legge. I tempi dipendono dalle dimensioni dell’impresa, dal numero di attività sensibili, dalla disponibilità della documentazione e dalle procedure già esistenti. Una società con pochi processi può richiedere un’attività meno articolata rispetto a un gruppo con più sedi e funzioni operative. Occorre considerare anche il tempo necessario per le interviste, la mappatura dei rischi, la redazione dei protocolli e le verifiche prima dell’approvazione.

È possibile utilizzare un fac simile di Modello 231 trovato online?

Un fac simile può essere utilizzato come riferimento per comprendere la struttura documentale, ma non sostituisce l’analisi dei rischi specifici dell’impresa. Un documento generico potrebbe contenere procedure non applicabili oppure trascurare attività nelle quali possono essere commessi reati presupposto. La sua eventuale idoneità dipende dalla capacità di rappresentare l’organizzazione effettiva e dalla concreta attuazione delle misure preventive.

Quanto costa predisporre un Modello organizzativo 231?

Il costo dipende dall’estensione dell’incarico, dalla complessità organizzativa e dalle attività professionali necessarie. Il preventivo dovrebbe distinguere l’analisi preliminare, la mappatura dei rischi, la predisposizione della documentazione e l’eventuale assistenza nell’implementazione. Occorre verificare separatamente se siano compresi formazione, supporto all’Organismo di Vigilanza e verifiche successive. Abbiamo approfondito questi aspetti nell’articolo dedicato a quanto costa predisporre un Modello 231 per un’azienda.

Il Modello 231 protegge automaticamente la società dalle sanzioni?

No. L’adozione del Modello non determina automaticamente l’esclusione della responsabilità dell’ente. Gli articoli 6 e 7 del D.Lgs. 231/2001 prevedono condizioni specifiche, che dipendono anche dalla posizione dell’autore del reato e dall’idoneità ed efficace attuazione del sistema organizzativo prima della commissione del fatto. La presenza di procedure scritte, da sola, non dimostra che i controlli fossero concretamente operativi.

Predisporre un Modello 231 per la propria azienda: richiedere una valutazione legale

La predisposizione di un Modello organizzativo 231 richiede una valutazione delle attività aziendali, dei rischi di reato e dei controlli effettivamente applicabili. Una documentazione standardizzata o non coerente con l’organizzazione può lasciare irrisolte criticità rilevanti, soprattutto quando l’impresa deve dimostrare l’adeguatezza delle misure adottate.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza nell’assistenza legale, offre supporto alle imprese nella valutazione delle esigenze organizzative e giuridiche connesse al D.Lgs. 231/2001, nella predisposizione del Modello e nell’individuazione dei presidi necessari in relazione alle caratteristiche della società.

Se la vostra azienda deve predisporre un Modello 231, organizzare la mappatura dei rischi o verificare le procedure necessarie alla sua attuazione, potete richiedere una valutazione per la predisposizione del Modello 231 aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze dell’impresa e le possibili modalità di assistenza professionale.