Articolo a cura di: Redazione - Studio Legale Calvello

Un Modello 231 adottato anni prima può non essere più adeguato all’attuale organizzazione aziendale. L’ingresso in nuovi mercati, una fusione societaria, la modifica delle deleghe, l’introduzione di nuovi reati presupposto o l’emersione di irregolarità possono rendere insufficiente il sistema di prevenzione originariamente predisposto. In queste circostanze, l’impresa deve valutare se siano sufficienti aggiornamenti circoscritti oppure se occorra una revisione sostanziale del Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001.

La distinzione ha conseguenze concrete. Un modello formalmente esistente, ma non più coerente con i rischi e con i processi effettivi della società, può risultare inidoneo a svolgere la funzione preventiva prevista dalla normativa. Per gli amministratori diventa quindi necessario comprendere quando intervenire, quali verifiche effettuare e come documentare le decisioni assunte. Nei casi più complessi, una valutazione legale indipendente permette di individuare le carenze del sistema organizzativo e definire l’estensione degli interventi necessari.

Quando la revisione del Modello 231 richiede un rifacimento sostanziale

La revisione del Modello 231 non coincide necessariamente con la sua completa riscrittura. Un’impresa può avere bisogno di integrare una procedura, aggiornare la mappatura di determinati rischi oppure modificare alcune parti del sistema disciplinare senza sostituire l’intero documento. Il rifacimento sostanziale diventa invece opportuno quando le carenze interessano l’impostazione complessiva del modello e non possono essere risolte mediante interventi isolati.

È il caso, per esempio, di una società che abbia adottato il modello quando svolgeva prevalentemente attività commerciali e che successivamente abbia acquisito stabilimenti produttivi, assunto numerosi dipendenti e iniziato a partecipare ad appalti pubblici. La precedente analisi dei rischi potrebbe non considerare adeguatamente la sicurezza sul lavoro, i rapporti con la pubblica amministrazione, la gestione dei subappaltatori o i nuovi processi decisionali. Aggiornare soltanto l’elenco dei reati presupposto, lasciando immutati protocolli e controlli, non sarebbe necessariamente sufficiente.

Un’altra situazione ricorrente riguarda i Modelli 231 predisposti sulla base di schemi standardizzati, senza un’effettiva ricognizione delle attività aziendali. Se le procedure descritte non corrispondono alle modalità con cui vengono autorizzati i pagamenti, selezionati i fornitori, conferite le deleghe o gestite le operazioni sensibili, il problema non è soltanto documentale. Occorre verificare se il sistema di prevenzione sia stato costruito sulla reale organizzazione dell’impresa e se i controlli previsti siano concretamente applicabili.

La necessità di una revisione approfondita può emergere anche dopo una fusione, una scissione, l’acquisizione di un ramo d’azienda o una riorganizzazione del gruppo societario. In queste operazioni cambiano frequentemente le responsabilità gestionali, i flussi autorizzativi e i rapporti tra le diverse funzioni. Un modello elaborato per la struttura precedente potrebbe lasciare prive di adeguata regolamentazione attività che, nella nuova organizzazione, presentano rischi rilevanti ai sensi del Decreto 231.

Particolare attenzione richiedono le società che abbiano mantenuto invariato il modello nonostante precedenti audit, segnalazioni dell’Organismo di Vigilanza o episodi di inosservanza delle procedure. La reiterazione di criticità conosciute può indicare che i presidi esistenti non funzionano oppure che l’organizzazione non ha dato effettiva attuazione alle misure previste. In tali circostanze, prima di decidere quali documenti modificare, è necessario individuare le cause delle anomalie e verificare se riguardino singoli processi o l’intero assetto dei controlli.

La valutazione deve distinguere anche il Modello 231 inadeguato da quello astrattamente idoneo ma concretamente disapplicato. Nel primo caso possono essere necessari nuovi protocolli, una diversa mappatura dei rischi o una riorganizzazione delle responsabilità. Nel secondo, il problema può riguardare soprattutto la formazione, la vigilanza, la tracciabilità delle verifiche o l’effettiva osservanza delle procedure. Le due situazioni possono coesistere, ma richiedono interventi differenti. Sul tema dell’attuazione effettiva abbiamo approfondito le conseguenze del Modello 231 predisposto ma non applicato.

Quali verifiche giuridiche e organizzative servono prima di decidere se rifare il Modello 231

Il punto di partenza è l’articolo 6 del D.Lgs. 231/2001, che disciplina, tra l’altro, i requisiti del modello rispetto ai reati commessi dai soggetti in posizione apicale. La norma richiede che il sistema organizzativo individui le attività nel cui ambito possono essere commessi reati, preveda protocolli idonei a programmare la formazione e l’attuazione delle decisioni dell’ente, disciplini la gestione delle risorse finanziarie e introduca obblighi informativi verso l’Organismo di Vigilanza e un sistema disciplinare adeguato.

Lo stesso articolo, al comma 4, prevede che l’efficace attuazione del modello richieda una verifica periodica e l’eventuale modifica dello stesso quando siano scoperte significative violazioni delle prescrizioni oppure quando intervengano mutamenti nell’organizzazione o nell’attività. La disposizione non stabilisce un termine annuale generalizzato entro il quale tutte le società debbano riscrivere il modello. Impone invece di considerare l’effettiva necessità di intervento alla luce delle circostanze concrete e di mantenere il sistema coerente con i rischi aziendali.

La prima verifica riguarda quindi la corrispondenza tra il modello esistente e l’attuale struttura societaria. Occorre esaminare organigramma, deleghe, procure, attribuzione dei poteri decisionali, processi autorizzativi e rapporti tra funzioni operative e organi di controllo. Una modifica dell’organigramma non rende automaticamente necessario rifare il modello, ma assume rilievo quando altera la distribuzione delle responsabilità o modifica i controlli previsti per le attività sensibili.

La seconda verifica interessa il risk assessment 231. L’analisi deve considerare i reati presupposto applicabili alle attività effettivamente svolte, tenendo conto delle modifiche legislative e dell’evoluzione dei processi aziendali. Non è sufficiente aggiornare formalmente il catalogo dei reati: occorre valutare in quali attività possano concretamente manifestarsi i rischi, quali soggetti intervengano nei processi decisionali e quali misure siano già operative. Quando la precedente mappatura non rispecchia più l’impresa, può essere necessario ripeterla integralmente o almeno nelle aree interessate dalle trasformazioni.

Segue l’esame dei protocolli di prevenzione. Per ciascuna attività sensibile bisogna verificare se siano definiti i poteri autorizzativi, se le operazioni risultino tracciabili, se esistano controlli proporzionati al rischio e se le responsabilità siano attribuite in modo chiaro. Le procedure devono essere confrontate con le prassi effettivamente seguite: una regola scritta, sistematicamente ignorata oppure incompatibile con il funzionamento dell’azienda, non costituisce di per sé un presidio efficace.

Rientrano nella verifica anche il codice etico, il sistema disciplinare, la formazione e i flussi informativi verso l’Organismo di Vigilanza. Quest’ultimo deve poter esercitare le proprie funzioni con adeguati poteri di iniziativa e controllo. Le sue relazioni, le richieste di intervento e le risultanze delle verifiche periodiche rappresentano elementi utili per stabilire quali parti del modello necessitino di modifiche. La decisione sull’adozione e sulle modifiche del modello compete all’organo dirigente, mentre l’OdV svolge le funzioni di vigilanza previste dalla disciplina applicabile.

Nel valutare l’adeguatezza del sistema occorre considerare anche il coordinamento con le procedure di whistleblowing previste dal D.Lgs. 24/2023. Per gli enti interessati, l’articolo 6 del D.Lgs. 231/2001 richiede che i modelli prevedano i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare secondo quanto stabilito dalla normativa. La revisione deve quindi verificare la coerenza tra le procedure di segnalazione, le responsabilità del gestore, i flussi verso l’OdV e le misure di riservatezza. Le modalità operative delle segnalazioni sono trattate nella nostra guida al whistleblowing aziendale.

All’esito dell’audit, la società dovrebbe disporre di un quadro documentato delle carenze rilevate, della loro incidenza sui rischi e delle modifiche necessarie. Su questa base è possibile distinguere gli aggiornamenti puntuali dagli interventi che richiedono una nuova impostazione del modello, evitando sia riscritture inutilmente onerose sia integrazioni formali incapaci di correggere problemi organizzativi sostanziali.

Obblighi, responsabilità e rischi quando il Modello 231 deve essere revisionato

La decisione di revisionare il Modello 231 deve essere valutata anche rispetto alle conseguenze che un sistema organizzativo inadeguato può produrre in caso di contestazione di un reato presupposto. Il D.Lgs. 231/2001 disciplina la responsabilità amministrativa degli enti per determinati illeciti commessi, nel loro interesse o vantaggio, da soggetti apicali o da persone sottoposte alla loro direzione o vigilanza. La presenza di un modello organizzativo non esclude automaticamente tale responsabilità: assumono rilievo la sua idoneità preventiva, la concreta attuazione e gli ulteriori presupposti stabiliti dalla normativa.

Un Modello 231 non adeguatamente revisionato può presentare criticità soprattutto quando l’azienda abbia modificato attività e processi senza aggiornare i relativi controlli. Se, per esempio, una società introduce nuove modalità di gestione degli appalti ma continua ad applicare protocolli predisposti per una struttura commerciale completamente diversa, occorre verificare se le misure esistenti siano ancora idonee a prevenire i reati pertinenti. La valutazione non dipende dalla sola data del documento, ma dal rapporto tra rischi concretamente presenti e presidi organizzativi adottati.

Per i reati commessi da soggetti in posizione apicale, l’articolo 6 del Decreto 231 disciplina le condizioni alle quali l’ente può andare esente da responsabilità, considerando, tra l’altro, l’adozione e l’efficace attuazione di un modello idoneo prima della commissione del fatto, l’affidamento della vigilanza a un organismo dotato di autonomi poteri di iniziativa e controllo e l’assenza di omessa o insufficiente vigilanza. Per i reati commessi dai soggetti sottoposti, l’articolo 7 disciplina invece il rilievo dell’inosservanza degli obblighi di direzione o vigilanza e dell’efficace attuazione di un modello idoneo. Queste differenze impediscono di considerare la semplice esistenza di un documento aggiornato come una protezione automaticamente efficace.

La responsabilità degli amministratori nella revisione del Modello 231 deve essere esaminata distinguendo gli obblighi previsti dal Decreto 231 dai doveri generali di corretta gestione societaria. L’adozione e l’aggiornamento del modello rientrano nelle competenze dell’organo dirigente, mentre l’Organismo di Vigilanza controlla il funzionamento e l’osservanza del sistema e ne cura l’aggiornamento attraverso le attività di impulso e segnalazione coerenti con le proprie attribuzioni. L’eventuale responsabilità personale degli amministratori richiede una valutazione dei doveri concretamente violati, del danno e degli altri presupposti applicabili: non deriva automaticamente dal semplice mancato aggiornamento del modello.

Particolare attenzione merita il caso in cui l’OdV abbia già comunicato criticità significative. Una relazione che segnali protocolli non applicati, carenze nella separazione delle funzioni o rischi non adeguatamente presidiati richiede una valutazione da parte degli organi competenti. Ignorare ripetutamente rilievi documentati può incidere sulla ricostruzione dell’effettivo funzionamento del sistema di controllo. È quindi opportuno che l’azienda registri le verifiche svolte, le decisioni adottate, le eventuali misure correttive e le ragioni per cui determinate modifiche siano state ritenute necessarie o non necessarie.

Quando la revisione deriva da una violazione interna o da un procedimento relativo a un possibile reato presupposto, occorre distinguere gli interventi preventivi dalle misure organizzative successive al fatto. Gli articoli 12 e 17 del D.Lgs. 231/2001 attribuiscono, in presenza delle rispettive condizioni, specifica rilevanza alle condotte riparatorie e all’adozione o attuazione di modelli organizzativi idonei a prevenire reati della specie di quello verificatosi. Una revisione effettuata dopo l’illecito non equivale all’esistenza di un modello efficacemente attuato prima del fatto e non elimina automaticamente la responsabilità eventualmente già maturata.

La scelta tra aggiornamento circoscritto e rifacimento sostanziale deve tradursi in un programma di intervento verificabile. Dopo l’individuazione delle carenze, l’azienda deve stabilire quali processi riesaminare, quali protocolli modificare, come ridefinire le responsabilità e quali attività formative siano necessarie. Le modifiche devono essere formalmente approvate dall’organo competente, comunicate ai destinatari interessati e integrate nel sistema di controllo. Quando cambiano procedure operative o poteri autorizzativi, è necessario verificare che le nuove regole siano effettivamente applicate e che l’OdV riceva informazioni adeguate per esercitare le proprie funzioni.

Un ulteriore problema riguarda i costi e i tempi della revisione. Non esiste un importo uniforme applicabile a tutte le imprese: l’attività professionale dipende dalle dimensioni societarie, dal numero di processi sensibili, dall’articolazione delle deleghe, dalla qualità della documentazione disponibile e dall’estensione delle carenze. Una revisione limitata ad alcuni protocolli richiede normalmente un’attività diversa rispetto al rifacimento di un modello costruito su una mappatura dei rischi ormai inutilizzabile. Per questo motivo, prima di definire un preventivo attendibile, è opportuno delimitare l’oggetto dell’intervento attraverso un esame preliminare della documentazione e dell’organizzazione aziendale.

Un esempio pratico: revisione del Modello 231 dopo una profonda riorganizzazione aziendale

Consideriamo il caso ipotetico di una società manifatturiera che abbia adottato il Modello 231 quando operava attraverso un unico stabilimento, con una struttura amministrativa accentrata e un numero limitato di fornitori. Negli anni successivi l’impresa acquisisce una seconda unità produttiva, esternalizza alcune lavorazioni e attribuisce nuovi poteri di spesa ai responsabili di stabilimento, senza procedere a una revisione organica del modello.

Durante una verifica periodica emergono incongruenze tra le procedure documentate e le attività effettivamente svolte. La mappatura dei rischi non considera alcuni processi introdotti dopo l’acquisizione, le deleghe non corrispondono interamente ai poteri esercitati e i flussi informativi verso l’Organismo di Vigilanza non comprendono determinate operazioni della nuova unità produttiva. La questione non può essere risolta semplicemente sostituendo l’organigramma allegato al modello.

In una situazione del genere, l’intervento professionale dovrebbe partire dall’esame del sistema esistente, proseguire con la ricostruzione dei processi sensibili e verificare l’adeguatezza dei protocolli rispetto ai rischi concretamente presenti. Particolare attenzione andrebbe riservata alla gestione degli appalti, alla sicurezza sul lavoro, alle autorizzazioni di spesa e ai controlli sui fornitori. Sulla base delle verifiche sarebbe possibile proporre all’organo dirigente una revisione delle parti non più adeguate oppure, qualora le carenze coinvolgessero l’impostazione generale del sistema, un rifacimento sostanziale del modello, accompagnato da un piano di attuazione e monitoraggio.

FAQ: domande frequenti sulla revisione del Modello 231

È necessario rifare completamente il Modello 231 quando cambiano le attività aziendali?

Non necessariamente. Se le modifiche interessano soltanto alcuni processi, può essere sufficiente aggiornare la mappatura dei rischi e i protocolli corrispondenti. Quando invece la trasformazione coinvolge la struttura societaria, i poteri decisionali e numerose attività sensibili, può rendersi necessaria una revisione sostanziale. La scelta deve derivare da una verifica documentata dell’adeguatezza del modello esistente.

Chi decide se il Modello 231 deve essere revisionato o completamente rifatto?

La decisione compete all’organo dirigente dell’ente. L’Organismo di Vigilanza, nell’esercizio delle proprie funzioni, verifica il funzionamento e l’osservanza del modello e può segnalare le modifiche necessarie. La società può avvalersi di un professionista esterno per effettuare un audit indipendente, individuare le carenze e predisporre una proposta di revisione da sottoporre all’organo competente.

Un Modello 231 non aggiornato può essere utilizzato per difendere l’azienda in un procedimento?

Il modello può essere prodotto e valutato nell’ambito del procedimento, ma la sua rilevanza dipende dall’idoneità preventiva e dall’effettiva attuazione, oltre che dagli ulteriori requisiti previsti dagli articoli 6 e 7 del D.Lgs. 231/2001. La mancata revisione assume particolare rilievo quando il sistema non considerava rischi già presenti nell’organizzazione oppure quando erano state individuate carenze significative senza adottare adeguate misure correttive.

È possibile affidare la revisione del Modello 231 a un avvocato diverso dal professionista che lo ha predisposto?

Sì. L’azienda può incaricare un altro professionista di verificare il modello esistente e proporne l’aggiornamento o il rifacimento. Una valutazione indipendente può essere particolarmente utile quando il documento è stato predisposto molti anni prima, sono cambiate le esigenze societarie oppure sussistono dubbi sull’efficacia dei controlli. L’incarico dovrebbe comprendere un esame della documentazione disponibile e delle procedure effettivamente applicate.

Quanto costa rifare un Modello 231 già esistente?

Il costo dipende dall’estensione dell’intervento. Se la struttura generale è ancora adeguata, la revisione può limitarsi ad alcune aree di rischio e ai relativi protocolli. Se occorre ricostruire la mappatura dei processi, ridefinire i controlli e riscrivere una parte consistente del modello, l’attività sarà più articolata. Un preventivo attendibile richiede quindi una valutazione preliminare delle dimensioni aziendali, della documentazione esistente e delle modifiche necessarie.

Revisione del Modello 231: richiedi una valutazione legale per la tua azienda

Se il Modello 231 della vostra società è stato predisposto prima di importanti cambiamenti organizzativi, presenta procedure non più applicabili oppure non è stato adeguatamente revisionato dopo l’emersione di nuovi rischi, è opportuno verificarne l’idoneità rispetto all’attuale attività aziendale. Non sempre occorre riscrivere l’intero documento: la scelta dipende dalla natura delle carenze, dall’efficacia dei controlli esistenti e dalle modifiche necessarie per rendere il sistema coerente con l’organizzazione.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione giuridica dei sistemi organizzativi, nella revisione dei Modelli 231 esistenti e nell’individuazione degli interventi necessari per adeguare procedure, protocolli e controlli ai rischi aziendali.

Per sottoporre il vostro caso allo Studio, richiedete una valutazione legale sulla revisione del Modello 231 della vostra azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze rappresentate e valutare le possibili modalità di assistenza professionale.