Articolo a cura di: Redazione - Studio Legale Calvello

Adottare un Modello 231 in una piccola o media impresa significa introdurre controlli capaci di prevenire i reati rilevanti ai sensi del D.Lgs. 231/2001, senza compromettere la rapidità delle decisioni e l’operatività quotidiana. Il problema si presenta soprattutto nelle aziende con pochi responsabili, funzioni amministrative accentrate e risorse limitate, dove procedure troppo complesse rischiano di rimanere inapplicate. Un Modello 231 efficace deve essere proporzionato ai rischi effettivi dell’impresa, compatibile con la sua organizzazione e concretamente attuato. La scelta delle procedure, dei controlli e dell’Organismo di Vigilanza richiede quindi una valutazione della struttura aziendale, delle attività svolte e delle responsabilità interne. Una consulenza legale mirata permette di individuare gli interventi necessari, evitando adempimenti ridondanti e soluzioni standardizzate.

Perché il Modello 231 rischia di diventare troppo complesso nelle piccole e medie imprese

Nelle PMI la gestione aziendale è spesso concentrata nelle mani dell’imprenditore o di un numero ristretto di amministratori e responsabili. Le stesse persone possono occuparsi di acquisti, rapporti con i fornitori, autorizzazione dei pagamenti, gestione del personale e controllo delle attività operative. Questa concentrazione di funzioni rende difficile applicare sistemi organizzativi progettati per grandi società, nei quali ogni processo prevede diversi livelli di autorizzazione e verifica.

Il rischio aumenta quando il Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 viene predisposto utilizzando documentazione standard, senza considerare le dimensioni dell’impresa. Un manuale particolarmente esteso, numerose procedure e obblighi di registrazione difficili da rispettare possono creare un sistema formalmente articolato ma scarsamente utilizzato. Il personale continua a lavorare secondo le prassi precedenti, mentre le procedure rimangono separate dall’attività quotidiana.

Questo problema ha anche una rilevanza giuridica. Gli articoli 6 e 7 del D.Lgs. 231/2001 attribuiscono rilievo all’adozione e all’efficace attuazione di modelli organizzativi idonei a prevenire reati della specie di quello verificatosi. La semplice esistenza di un documento approvato dall’organo amministrativo non è sufficiente a dimostrare che il sistema di prevenzione funzioni realmente. Occorre che le regole siano conosciute, applicate, controllate e aggiornate quando necessario.

La normativa non impone indistintamente a tutte le imprese di adottare un Modello 231. La sua predisposizione può però assumere particolare rilevanza quando l’azienda opera in settori esposti a specifici reati presupposto, intrattiene rapporti con la pubblica amministrazione, gestisce lavorazioni pericolose oppure partecipa a rapporti commerciali nei quali committenti e partner richiedono determinati presidi organizzativi. La valutazione deve distinguere gli eventuali obblighi derivanti da disposizioni specifiche o da impegni contrattuali dall’opportunità di adottare il modello per contenere l’esposizione alla responsabilità dell’ente.

Per una PMI il punto non è replicare l’organizzazione di una multinazionale, ma individuare dove possono verificarsi comportamenti illeciti nell’interesse o a vantaggio della società e stabilire quali controlli siano ragionevolmente necessari. Un’impresa manifatturiera, ad esempio, potrebbe dover concentrare l’attenzione sulla sicurezza del lavoro, sulla gestione ambientale e sui rapporti commerciali, mentre una società di servizi potrebbe presentare processi sensibili differenti. La selezione deve derivare da un’analisi concreta, evitando sia controlli superflui sia omissioni nelle aree effettivamente esposte.

Un ulteriore errore consiste nel confondere la semplificazione con l’eliminazione dei presidi di controllo. Ridurre il numero delle procedure può essere appropriato; rinunciare alla tracciabilità delle decisioni, alla definizione delle responsabilità o alle verifiche necessarie può invece compromettere l’idoneità del modello. La soluzione deve mantenere un equilibrio tra sostenibilità operativa e capacità di prevenzione, tenendo conto anche delle possibilità di semplificazione del Modello 231 per le piccole imprese.

Come costruire un Modello 231 proporzionato ai rischi e alle risorse della PMI

La predisposizione di un Modello 231 sostenibile parte dall’esame dell’organizzazione già esistente. Prima di introdurre nuove procedure occorre comprendere come vengono assunte le decisioni, chi autorizza le operazioni, quali controlli vengono effettuati e quali documenti consentono di ricostruire le attività svolte. Molte PMI dispongono già di regolamenti interni, procedure amministrative, sistemi di gestione della qualità, documentazione sulla sicurezza del lavoro e modalità di controllo dei fornitori che possono costituire una base utile per il sistema 231.

Il primo intervento consiste nella mappatura delle attività sensibili e nella valutazione dei rischi di commissione dei reati presupposto. Il risk assessment deve individuare i processi aziendali nei quali potrebbero verificarsi condotte rilevanti ai sensi del decreto, valutando i controlli esistenti e le eventuali carenze. Non è necessario attribuire la stessa intensità di verifica a ogni attività: le misure devono essere calibrate sull’esposizione al rischio e sulle caratteristiche concrete dell’impresa.

Una volta individuate le aree sensibili, occorre definire protocolli operativi comprensibili e applicabili. In una società con un ufficio amministrativo ridotto, ad esempio, potrebbe non essere possibile separare completamente le funzioni di chi predispone un pagamento e di chi ne controlla la documentazione. Si possono allora valutare misure compensative, come autorizzazioni dell’amministratore per determinate operazioni, verifiche periodiche indipendenti o controlli documentati sulle transazioni maggiormente esposte. L’adeguatezza di queste soluzioni dipende dal rischio specifico e non può essere presunta soltanto perché l’azienda è di piccole dimensioni.

Il Modello 231 deve comprendere anche un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure previste, protocolli relativi alla gestione delle risorse finanziarie e obblighi informativi verso l’organismo incaricato della vigilanza, secondo quanto richiesto dall’articolo 6 del decreto. Il codice etico può raccogliere i principi di comportamento aziendale, mentre le procedure devono tradurli in regole operative verificabili. Ogni documento dovrebbe avere una funzione precisa, un responsabile della sua applicazione e modalità di controllo compatibili con l’attività dell’impresa.

Un aspetto delicato riguarda l’Organismo di Vigilanza (OdV). La sua organizzazione deve essere valutata considerando autonomia, indipendenza, professionalità e continuità d’azione. Nelle PMI può risultare appropriata una composizione monocratica, anche con un professionista esterno, purché siano assicurate le condizioni necessarie allo svolgimento effettivo delle funzioni. L’articolo 6, comma 4, del D.Lgs. 231/2001 contempla inoltre, negli enti di piccole dimensioni, la possibilità che i compiti di vigilanza siano svolti direttamente dall’organo dirigente. Questa soluzione richiede una particolare attenzione ai possibili conflitti tra attività gestionali e funzioni di controllo e non deve essere considerata automaticamente adeguata.

La gestione operativa può essere alleggerita organizzando flussi informativi essenziali, verifiche programmate e modalità semplici di conservazione delle evidenze. L’OdV deve ricevere le informazioni necessarie a individuare anomalie e violazioni del modello, senza trasformare ogni operazione ordinaria in una comunicazione formale. Anche la formazione può essere differenziata: gli amministratori e i responsabili delle attività sensibili necessitano di approfondimenti coerenti con i rispettivi rischi, mentre agli altri dipendenti devono essere fornite istruzioni comprensibili sui comportamenti richiesti e sulle procedure pertinenti alle loro mansioni.

Occorre infine coordinare il Modello 231 con gli strumenti di controllo già presenti, compreso il sistema di segnalazione degli illeciti quando applicabile. Il D.Lgs. 24/2023 disciplina specifici obblighi in materia di whistleblowing e il relativo coordinamento con i modelli organizzativi. Per una PMI è opportuno evitare sovrapposizioni tra i soggetti incaricati della gestione delle segnalazioni e l’OdV, definendo competenze, riservatezza e flussi informativi. La gestione del whistleblowing nelle PMI prive di un ufficio legale interno può essere organizzata ricorrendo, quando consentito e appropriato, a competenze esterne.

La sostenibilità economica dipende anche dal modo in cui viene pianificata l’attuazione. Un intervento professionale dovrebbe distinguere le attività necessarie per predisporre il modello dagli adempimenti periodici di vigilanza, formazione e aggiornamento. Questo consente all’impresa di valutare preventivamente l’impegno organizzativo e i costi ricorrenti, evitando che il sistema venga progressivamente abbandonato perché incompatibile con le risorse disponibili.

Procedure, controlli e responsabilità: come rendere il Modello 231 realmente applicabile

Una volta individuati i rischi e definita la struttura del Modello 231, l’azienda deve assicurarsi che le misure previste entrino effettivamente nei processi decisionali e operativi. È soprattutto in questa fase che una PMI può incontrare difficoltà: le procedure vengono approvate, ma chi deve applicarle continua a utilizzare modalità di lavoro consolidate, talvolta incompatibili con i controlli introdotti. Per evitare questa situazione, ogni presidio organizzativo deve corrispondere a un’attività concreta, essere assegnato a un soggetto individuato e produrre evidenze verificabili della sua applicazione.

La distribuzione delle responsabilità deve tenere conto della struttura effettiva dell’impresa. Quando le funzioni sono accentrate, non sempre è possibile prevedere una completa separazione tra chi decide, chi esegue e chi controlla. Occorre allora individuare soluzioni organizzative alternative, proporzionate al rischio: autorizzazioni preventive per operazioni particolarmente sensibili, verifiche successive effettuate da soggetti diversi, controlli a campione e registrazione delle decisioni che comportano un’esposizione rilevante. Queste misure devono essere valutate caso per caso, perché la ridotta dimensione aziendale non giustifica automaticamente l’assenza di controlli indipendenti.

Un esempio riguarda la gestione dei rapporti con i fornitori. In una piccola società, lo stesso responsabile può selezionare il fornitore, negoziare le condizioni e autorizzare l’acquisto. Il Modello 231 può prevedere controlli differenziati in base alla natura e al rischio dell’operazione, verifiche documentali sulle controparti e autorizzazioni ulteriori quando emergono circostanze anomale. Non è necessariamente utile imporre una procedura articolata per ogni acquisto ordinario; è invece necessario disciplinare adeguatamente le operazioni che presentano un rischio concreto di commissione dei reati presupposto.

La stessa impostazione riguarda la sicurezza sul lavoro, i rapporti con la pubblica amministrazione, la gestione delle risorse finanziarie e gli altri processi sensibili individuati attraverso il risk assessment. Se l’impresa dispone già di procedure applicate e documentate, queste possono essere integrate nel sistema 231, verificandone l’idoneità rispetto ai rischi da prevenire. La presenza di certificazioni, manuali qualità o documentazione sulla sicurezza non equivale automaticamente all’adozione di un Modello 231 idoneo, ma può consentire di evitare duplicazioni e utilizzare controlli organizzativi già funzionanti.

Particolare attenzione deve essere riservata alla tracciabilità. L’azienda deve poter ricostruire chi ha autorizzato una determinata operazione, quali verifiche sono state effettuate e come sono state gestite eventuali anomalie. Questo non richiede necessariamente software dedicati o sistemi documentali complessi. In funzione delle dimensioni e dei rischi, possono risultare adeguati registri elettronici, verbali sintetici, documenti conservati nei sistemi aziendali e procedure di archiviazione già utilizzate, purché assicurino integrità, reperibilità e affidabilità delle informazioni.

Il funzionamento del sistema deve essere verificato periodicamente. L’Organismo di Vigilanza, nell’ambito dei propri poteri di iniziativa e controllo, deve poter accedere alle informazioni necessarie, esaminare le attività sensibili e segnalare le carenze riscontrate. L’impresa deve organizzare flussi informativi coerenti con il proprio profilo di rischio, evitando comunicazioni prive di utilità e assicurando invece la tempestiva conoscenza di violazioni, anomalie e cambiamenti organizzativi rilevanti. Le verifiche devono lasciare traccia delle attività svolte e degli eventuali interventi correttivi richiesti.

La concreta attuazione richiede anche una formazione commisurata alle responsabilità dei destinatari. Non tutti i dipendenti devono conoscere ogni parte del modello, ma ciascuno deve comprendere le regole applicabili alla propria attività, le condotte vietate e le modalità per segnalare eventuali irregolarità. Gli amministratori e i responsabili delle funzioni maggiormente esposte devono invece conoscere le responsabilità connesse alle decisioni assunte e le conseguenze del mancato rispetto dei protocolli.

Il Modello 231 deve inoltre essere riesaminato quando intervengono cambiamenti che incidono sull’esposizione ai rischi, come l’avvio di nuove attività, modifiche dei processi produttivi, riorganizzazioni societarie o variazioni normative riguardanti i reati presupposto. Gli articoli 6 e 7 del D.Lgs. 231/2001 attribuiscono rilievo all’effettività del sistema e alla sua capacità di mantenersi adeguato nel tempo. Per questo motivo, una PMI dovrebbe prevedere verifiche sostenibili e responsabilità definite, evitando che l’aggiornamento dipenda esclusivamente dall’iniziativa occasionale dell’amministratore.

Quando il modello è già stato adottato ma le procedure risultano difficili da applicare, può essere opportuno effettuare una verifica mirata delle criticità organizzative, distinguendo i controlli effettivamente necessari da quelli ridondanti. Il problema non si risolve eliminando indiscriminatamente gli adempimenti, ma attraverso una revisione che conservi i presidi richiesti e renda il sistema utilizzabile. In questi casi può essere utile approfondire le conseguenze di un Modello 231 predisposto ma non concretamente applicato, soprattutto quando la documentazione formale non corrisponde alle prassi aziendali.

Esempio pratico: organizzare il Modello 231 in una PMI con personale e risorse limitati

Consideriamo, a titolo esemplificativo, una piccola impresa manifatturiera nella quale l’amministratore gestisce direttamente i rapporti commerciali, il responsabile amministrativo segue acquisti e pagamenti e il responsabile di produzione coordina le attività operative. L’azienda intende adottare un Modello 231, anche per rispondere alle richieste di un importante committente, ma teme che l’introduzione di nuove procedure rallenti il lavoro e comporti costi di gestione difficilmente sostenibili.

In una situazione di questo tipo, l’intervento professionale partirebbe dall’esame dei processi esistenti, della documentazione sulla sicurezza, delle autorizzazioni amministrative e dei controlli sui fornitori. La mappatura dei rischi consentirebbe di individuare le attività sensibili e le eventuali carenze, distinguendo i processi già adeguatamente presidiati da quelli che richiedono misure aggiuntive. L’aspetto più delicato sarebbe la concentrazione delle funzioni decisionali, da affrontare attraverso controlli compensativi e modalità di verifica compatibili con le risorse disponibili.

Il modello potrebbe quindi essere organizzato utilizzando parte delle procedure già applicate, introducendo protocolli mirati, definendo i flussi informativi verso l’Organismo di Vigilanza e programmando verifiche e formazione in base ai rischi individuati. La concreta adeguatezza di questa organizzazione dovrebbe essere valutata sulla struttura e sulle attività dell’impresa, senza presumere che la semplificazione documentale sia di per sé sufficiente a soddisfare i requisiti del D.Lgs. 231/2001.

Domande frequenti sul Modello 231 per le piccole e medie imprese

Una PMI può adottare un Modello 231 senza istituire un ufficio compliance interno?

Sì. Il D.Lgs. 231/2001 non impone di costituire un ufficio compliance dedicato. Una piccola impresa può affidarsi a professionisti esterni per la predisposizione del modello e per attività di supporto, mantenendo al proprio interno responsabilità operative chiaramente definite. L’esternalizzazione non trasferisce automaticamente ai consulenti le responsabilità dell’organo dirigente e non sostituisce l’effettiva applicazione dei controlli aziendali.

È possibile utilizzare le procedure già adottate dall’azienda?

Sì, purché siano esaminate rispetto ai rischi rilevanti ai sensi del D.Lgs. 231/2001. Procedure amministrative, sistemi di gestione della qualità e documentazione sulla sicurezza possono essere integrati nel modello, evitando duplicazioni. Occorre però verificare che prevedano controlli adeguati, responsabilità individuabili e modalità di documentazione delle attività svolte.

Una piccola impresa deve necessariamente nominare un Organismo di Vigilanza esterno?

No. La scelta dipende dalle dimensioni dell’ente, dalla sua organizzazione e dai rischi da presidiare. L’articolo 6, comma 4, del D.Lgs. 231/2001 consente, negli enti di piccole dimensioni, che i compiti di vigilanza siano svolti direttamente dall’organo dirigente. La soluzione deve comunque essere valutata attentamente, soprattutto quando la concentrazione delle funzioni gestionali può compromettere l’effettività dei controlli. In altri casi può risultare più appropriato un Organismo di Vigilanza monocratico esterno.

Quanto costa mantenere un Modello 231 in una PMI?

Il costo dipende dalla complessità delle attività, dal numero dei processi sensibili, dall’organizzazione dell’Organismo di Vigilanza e dalla frequenza delle verifiche necessarie. Oltre alla predisposizione iniziale, devono essere considerate le attività di formazione, controllo e aggiornamento. Un modello costruito sulle procedure già esistenti può contenere gli oneri organizzativi, purché non vengano eliminati presidi necessari alla prevenzione dei reati.

Come si può verificare se un Modello 231 semplificato è realmente adeguato?

Occorre confrontare i rischi individuati con i protocolli adottati e verificare che questi ultimi siano effettivamente applicati. L’analisi deve considerare la tracciabilità delle operazioni, i controlli sulle attività sensibili, il funzionamento dell’Organismo di Vigilanza, la formazione e la gestione delle eventuali violazioni. Un audit 231 mirato può individuare carenze e procedure ridondanti, consentendo di programmare interventi correttivi proporzionati alla struttura aziendale.

Modello 231 per PMI: richiedi una valutazione dell’organizzazione aziendale

Un Modello 231 troppo complesso rischia di rimanere inapplicato; un sistema eccessivamente semplificato può invece lasciare scoperte attività aziendali esposte a responsabilità ai sensi del D.Lgs. 231/2001. Per individuare una soluzione appropriata occorre esaminare i processi dell’impresa, le procedure già esistenti, i rischi di commissione dei reati presupposto e le risorse disponibili per assicurare controlli e vigilanza.

Lo Studio Legale Calvello assiste le imprese nella valutazione, predisposizione e organizzazione del Modello 231, con attenzione alla concreta applicabilità delle procedure e alla sostenibilità degli adempimenti. Se la vostra azienda intende adottare un modello organizzativo o riorganizzare quello esistente, richiedete una valutazione attraverso il modulo dedicato al Modello 231 per aziende. Esamineremo la richiesta per individuare le esigenze organizzative e le possibili modalità di assistenza professionale.