Modello 231 Obbligatorio: In Quali Casi è Necessario per le Aziende?

Modello 231 Obbligatorio: Quando è richiesto dalla legge?

Il Modello 231 obbligatorio in senso proprio non esiste: nessuna disposizione del D.Lgs. 231/2001 impone a un ente di adottarlo. L’art. 6 ne fa la condizione dell’esimente, non un adempimento, e la mancata adozione non costituisce illecito: è la rinuncia a una difesa. Gli obblighi che le imprese incontrano nella pratica nascono altrove — dalla disciplina sulla prevenzione della corruzione per le società in controllo pubblico, dai requisiti di accreditamento per le strutture sanitarie private, dai bandi e dai protocolli di legalità per chi lavora con la Pubblica Amministrazione — e hanno presupposti, destinatari e conseguenze diversi fra loro. Per questo la domanda «è obbligatorio?» va scomposta, come si fa più avanti in questa pagina.

La responsabilità amministrativa degli enti: da dove nasce il tema

Il Decreto Legislativo 8 giugno 2001, n. 231 ha introdotto un principio fino ad allora estraneo alla tradizione giuridica italiana: accanto alla persona fisica che commette il reato può rispondere anche l’ente nel cui interesse o vantaggio quel reato è maturato. La responsabilità si radica quando l’illecito è commesso da soggetti in posizione apicale o da persone sottoposte alla loro direzione, e la disciplina si applica agli enti forniti di personalità giuridica, alle società e alle associazioni anche prive di personalità giuridica, con le esclusioni previste dalla legge.

Il catalogo sanzionatorio non è simbolico. Accanto alla sanzione pecuniaria e alla confisca del profitto del reato operano le misure interdittive, che possono arrivare alla sospensione o alla revoca di autorizzazioni, al divieto di contrattare con la Pubblica Amministrazione e all’interdizione dall’esercizio dell’attività. Per un’impresa che vive di titoli autorizzativi o di commesse pubbliche, una misura interdittiva incide sulla continuità aziendale prima ancora che sul bilancio.

Che cosa fa il Modello 231 nel sistema del decreto

Il modello di organizzazione, gestione e controllo è l’insieme dei protocolli, delle procedure e dei presidi con cui l’ente organizza la prevenzione dei reati presupposto. Nel meccanismo del decreto la sua funzione è esimente: se adottato ed efficacemente attuato prima del fatto, può escludere o attenuare la responsabilità dell’ente.

È sulla formula “efficacemente attuato” che molti modelli si fermano. Un documento approvato dall’organo amministrativo e mai calato nei processi non produce l’effetto che il decreto gli riconosce: il modello deve essere costruito sulle attività a rischio dell’impresa, aggiornato quando l’organizzazione cambia, vigilato da un organismo indipendente e conosciuto da chi è chiamato ad applicarlo.

Modello 231 Obbligatorio: Perché alcune aziende devono adottarlo?

La spinta che le imprese avvertono come un dovere nasce quasi sempre fuori dal decreto: dalla disciplina sulla prevenzione della corruzione per le società in controllo pubblico, dai requisiti di accreditamento nel settore sanitario, da bandi, capitolati e richieste di committenti e capogruppo per chi lavora in appalto. Sono piani diversi, distinti nella tabella che segue. Il decreto aggiunge il rovescio della medaglia: l’ente nel cui interesse o vantaggio matura un reato presupposto ne risponde con il proprio patrimonio — sanzione pecuniaria, confisca, misure interdittive — e senza un modello adottato ed efficacemente attuato prima del fatto non può invocare l’esimente dell’art. 6. È questa combinazione, nessun obbligo e molta esposizione, a spiegare perché molte imprese adottano il modello senza che alcuna norma lo imponga.

Obbligo, requisito, necessità, opportunità: quattro piani distinti

Nel confronto con le imprese la domanda arriva quasi sempre nella stessa forma: il modello è obbligatorio oppure no. Conviene scomporla, perché sotto la stessa parola convivono situazioni giuridicamente diverse, che si accertano con verifiche diverse.

Piano	Che cosa significa	Dove si verifica
Obbligo	Discende da una norma, da un requisito settoriale o da una condizione applicabile all’ente	Disciplina di settore, titoli autorizzativi e regime dell’ente, caso per caso
Requisito	Richiesto da un bando, da un capitolato, da una capogruppo o da una procedura di qualificazione	Documenti di gara e contrattualistica con il committente
Necessità pratica	Non imposto formalmente, ma difficilmente rinunciabile per il livello di rischio	Cantieri, subappalti, gestione rifiuti, processi fiscali e amministrativi rilevanti
Opportunità	Scelta di governance, organizzazione e controllo interno	Deleghe, acquisti, selezione dei fornitori, rating e rapporti con il credito

Tenere distinti questi piani evita due errori speculari: ritenersi al riparo perché nessuna disposizione impone il modello, oppure adottarne uno standardizzato al solo scopo di esibirlo a un committente.

Quali reati rendono il Modello 231 obbligatorio per un’azienda?

Nessun reato, a rigore, rende il modello obbligatorio: il catalogo dei reati presupposto delimita l’area entro cui l’ente può essere chiamato a rispondere, e quindi l’area che il modello deve presidiare. Quanto più l’attività dell’impresa attraversa queste famiglie di reato, tanto più pesa l’assenza di presidi organizzativi. Tra le principali categorie previste dal D.lgs. 231/01:

• Reati contro la Pubblica Amministrazione
• Reati societari, come false comunicazioni sociali
• Riciclaggio e reati finanziari
• Omicidio colposo e lesioni gravi in ambito di sicurezza sul lavoro
• Reati ambientali e gestione illecita dei rifiuti

Quando l’esposizione al rischio 231 diventa concreta

L’esposizione dipende meno dalla dimensione dell’impresa e più dai processi che questa gestisce. Risultano strutturalmente più esposti i settori regolamentati — bancario, finanziario, energetico, sanitario, trasporti — e le organizzazioni articolate su più sedi, stabilimenti o funzioni, dove la distanza fra chi decide e chi opera rende i controlli meno immediati.

Sul piano operativo il tema si pone con concretezza quando l’impresa:

• intrattiene rapporti frequenti con la Pubblica Amministrazione;
• partecipa a gare pubbliche o private;
• gestisce appalti e subappalti;
• svolge lavorazioni con rischio infortunistico rilevante;
• produce, trasporta o gestisce rifiuti;
• esercita attività sanitarie, socio-sanitarie o comunque regolamentate;
• ha processi fiscali e amministrativi di peso;
• lavora con filiere estese o fornitori critici;
• gestisce contributi, finanziamenti o agevolazioni;
• appartiene a un gruppo societario.

Un’impresa edile con cantieri e subappalti, una manifatturiera con autorizzazioni ambientali e manutenzioni esternalizzate, una società di servizi che partecipa a gare e si avvale stabilmente di consulenti: in ciascuno di questi casi la domanda utile non è soltanto se il modello sia imposto, ma quali reati presupposto possano maturare nell’attività e quali controlli siano stati predisposti per intercettarli.

Modello 231 obbligatorio nei contratti con la Pubblica Amministrazione

Per le imprese che lavorano con la Pubblica Amministrazione il modello è di regola un requisito, non un obbligo: nessuna disposizione impone di adottarlo per partecipare a una gara, ma bandi, capitolati, protocolli di legalità e criteri premiali possono richiederlo o valorizzarlo. La conseguenza, in quel caso, è la perdita di punteggio o l’esclusione dalla singola procedura, non una sanzione. Il piano che invece incide direttamente e in modo più pesante sull’accesso alle commesse è un altro, e sta dentro il decreto: le misure interdittive applicate all’ente possono comportare il divieto di contrattare con la Pubblica Amministrazione. È la ragione per cui, in questo settore, l’assetto 231 conviene verificarlo prima che serva: quando la richiesta arriva insieme al bando, i tempi per costruire un modello credibile sono già stretti.

Rating di legalità e qualificazione presso i committenti

Accanto ai requisiti di gara operano meccanismi premiali che valorizzano l’organizzazione interna dell’impresa. Il rating di legalità gestito dall’AGCM è concepito per promuovere principi etici nei comportamenti aziendali e può produrre effetti nell’accesso a risorse e opportunità in ambito pubblico e privato, comprese le procedure a evidenza pubblica, i finanziamenti pubblici e il credito bancario. Secondo l’AGCM possono richiederlo le imprese con sede operativa in Italia, con un fatturato di almeno due milioni di euro nell’esercizio precedente e iscritte al registro delle imprese da almeno due anni, oltre agli ulteriori requisiti previsti dal regolamento.

Un secondo fronte è quello privato. Committenti strutturati, capogruppo e istituzioni finanziarie chiedono con crescente frequenza garanzie di compliance ai propri fornitori: codice etico, procedure anticorruzione, criteri di selezione dei fornitori, canali di segnalazione, tracciabilità dei controlli. Lo stesso avviene nelle operazioni straordinarie, dove l’assetto 231 dell’ente entra nelle verifiche che precedono fusioni, acquisizioni e accordi strategici. In questi contesti il modello opera come credenziale organizzativa prima ancora che come presidio penalistico.

Modello 231 obbligatorio per le società partecipate pubbliche

Qui un obbligo esiste, ma non ha per oggetto il modello 231. Alle società in controllo pubblico la disciplina sulla prevenzione della corruzione impone di adottare misure di prevenzione: chi ha già un modello organizzativo ex D.Lgs. 231/2001 le innesta al suo interno, integrandolo; chi non lo ha adotta comunque quelle misure in un documento autonomo. Nell’assetto indicato dall’Autorità nazionale anticorruzione il responsabile della prevenzione della corruzione non può coincidere con l’Organismo di Vigilanza. Diversa è la posizione delle società a partecipazione pubblica non di controllo, per le quali l’adozione delle misure resta facoltativa, fermi restando gli obblighi di pubblicità e trasparenza. La verifica, in concreto, riguarda il regime della singola società: controllo pubblico o semplice partecipazione, perché le conseguenze non sono le stesse.

Modello Organizzativo fondamentale nel settore bancario e finanziario

Istituti di credito e intermediari finanziari operano in un quadro di vigilanza che impone assetti organizzativi e sistemi di controllo interno adeguati. Non è però da lì che nasce un obbligo di adottare il modello 231: nessuna disposizione lo impone, e la scelta resta dell’ente. È difficile, semmai, sostenere davanti all’autorità di vigilanza un sistema dei controlli che ignori il rischio di reato dell’ente, in un settore in cui i reati presupposto — riciclaggio e autoriciclaggio, abusi di mercato, reati societari, corruzione — coincidono con i rischi tipici dell’attività. Qui il modello si colloca sul piano della necessità pratica, non dell’adempimento, e va costruito sui processi che generano quei rischi anziché giustapposto alle procedure già esistenti.

Quali aziende a Bergamo devono necessariamente adottare un Modello Organizzativo?

Vale anche per le imprese bergamasche la distinzione dei quattro piani: nessuna norma impone il modello per il solo fatto di operare nella manifattura, nella sanità o nella gestione ambientale. Ma è proprio in questi comparti, centrali nell’economia della provincia, che i piani del requisito e della necessità pratica pesano di più: le strutture sanitarie accreditate incontrano il modello fra le condizioni del titolo, chi partecipa a bandi pubblici o lavora per committenti strutturati se lo vede chiedere in sede di qualificazione, e le lavorazioni con rischio infortunistico o ambientale rilevante rendono difficile sostenere l’assenza di presidi organizzativi. La domanda utile, per una società con sede a Bergamo come altrove, non è se il modello sia imposto: è quali reati presupposto possano maturare nella propria attività e quali controlli esistano già per intercettarli.

Modello Organizzativo e settore sanitario: cosa prevede la normativa?

Nel settore sanitario privato il modello entra come requisito di accreditamento, non come obbligo generale di legge. La struttura che chiede o mantiene l’accreditamento con il Servizio sanitario nazionale può dover dimostrare di aver adottato un modello organizzativo, in forza della disciplina sugli standard dell’assistenza e degli atti regionali di accreditamento, che variano da Regione a Regione: è una verifica da fare sul titolo della singola struttura, non una regola uniforme sul territorio nazionale. La differenza è pratica: chi rinuncia all’accreditamento non commette alcun illecito, chi lo mantiene senza il presidio richiesto mette in discussione il titolo su cui si regge la propria attività. I processi da presidiare, in questo comparto, sono i rapporti con l’amministrazione, le prestazioni rendicontate al servizio pubblico, gli acquisti e le nomine.

Sicurezza sul lavoro: il collegamento tra DVR e sistema 231

L’art. 30 del D.Lgs. 81/2008 individua i requisiti dei modelli di organizzazione e gestione idonei ad avere efficacia esimente della responsabilità amministrativa degli enti in materia di salute e sicurezza sul lavoro. È il punto in cui la compliance 231 e la gestione della sicurezza si incontrano, ed è anche quello in cui si concentrano gli equivoci più frequenti.

Molte aziende dispongono di documento di valutazione dei rischi, nomine, formazione e procedure operative, spesso curati da consulenti esterni. Questi presidi, però, non sempre risultano coordinati con il sistema 231. Accade con regolarità che il DVR sia aggiornato e che nessun flusso informativo raggiunga l’Organismo di Vigilanza su infortuni, mancati infortuni, non conformità, esiti degli audit o rilievi degli organi ispettivi: la documentazione antinfortunistica esiste, il sistema 231 resta incompleto.

Il punto non è duplicare le carte. È rendere i presidi tracciati, verificabili e riferibili a responsabilità individuate.

Il Modello 231 nelle PMI: proporzione, non semplificazione

L’idea che il decreto riguardi soltanto le grandi imprese è smentita dai presupposti della responsabilità dell’ente, che possono ricorrere anche in realtà di dimensioni contenute. La differenza non sta nell’applicabilità della disciplina, ma nel modo in cui il modello va costruito: a una piccola o media impresa non serve l’apparato documentale di un grande gruppo, serve un sistema proporzionato, concreto ed effettivamente applicabile ai propri processi.

Nelle realtà meno strutturate le criticità ricorrenti hanno natura pratica:

• deleghe non formalizzate;
• decisioni concentrate in poche persone;
• acquisti gestiti in via informale;
• fornitori selezionati per consuetudine;
• formazione svolta ma non documentata;
• controlli eseguiti e mai tracciati;
• rapporti con consulenti esterni regolati in modo sommario;
• procedure trasmesse a voce e mai messe per iscritto.

Un modello proporzionato non appesantisce l’organizzazione. Nella maggior parte dei casi rende più chiari ruoli, controlli e responsabilità, con effetti che vanno oltre il perimetro penalistico.

Come implementare un Modello 231 obbligatorio in azienda?

Adottare un Modello Organizzativo adeguato significa:

1. Mappare i rischi aziendali per individuare le aree più esposte alla commissione di reati
2. Definire protocolli e procedure per prevenire la commissione di illeciti
3. Nominare un Organismo di Vigilanza (OdV) indipendente, con poteri di controllo
4. Formare il personale sulla normativa 231 e sulle misure di prevenzione
5. Aggiornare il modello periodicamente, adeguandolo alle nuove normative e alle evoluzioni del rischio

Quali elementi rendono il modello effettivamente verificabile

Un modello utile non coincide con un documento ben redatto. Perché produca gli effetti che il decreto gli riconosce deve poggiare su elementi che qualcuno, in un momento successivo, sia in grado di riscontrare:

• risk assessment aggiornato e mappatura dei processi sensibili;
• parte generale e parti speciali costruite sui reati presupposto realmente rilevanti per l’attività;
• codice etico e sistema disciplinare;
• protocolli operativi applicati alle aree a rischio;
• flussi informativi verso l’Organismo di Vigilanza;
• formazione documentata, generale e per funzioni sensibili;
• procedure di whistleblowing coordinate con il modello;
• regole per fornitori, consulenti e partner;
• aggiornamento periodico;
• verbali e relazioni dell’Organismo di Vigilanza.

La distinzione decisiva non passa fra il prevedere un controllo e il non prevederlo. Passa fra il dichiararlo sulla carta e il poter dimostrare che è stato eseguito, documentato e, dove necessario, corretto.

Modello, Organismo di Vigilanza e formazione: un sistema unico

L’approvazione del modello apre l’attività, non la conclude. Un modello privo di Organismo di Vigilanza perde l’elemento su cui il decreto costruisce il controllo; un organismo privo di flussi informativi non è nelle condizioni di vigilare; un modello mai comunicato resta ignoto proprio a chi dovrebbe applicarlo.

L’OdV deve essere autonomo e indipendente, dotato di poteri effettivi e di professionalità adeguata. La composizione può variare in funzione della struttura dell’ente, ma la vigilanza sul funzionamento e sull’osservanza del modello deve essere reale. Dopo l’adozione vanno perciò presidiati alcuni passaggi:

• nomina dell’Organismo di Vigilanza;
• definizione dei flussi informativi;
• calendario delle riunioni e verbalizzazione;
• relazione periodica agli organi sociali;
• formazione di amministratori e dipendenti;
• formazione mirata per le funzioni sensibili;
• aggiornamento dei protocolli;
• verifica dell’attuazione.

In quali momenti conviene affrontare il tema

Il momento in cui l’impresa affronta la questione incide sul risultato. Molte società se ne occupano dopo la richiesta di un committente, un’ispezione, una segnalazione o un infortunio: a quel punto il margine di prevenzione si è già ridotto.

La valutazione è invece opportuna quando l’organizzazione cambia:

• crescita rapida o apertura di nuove sedi;
• ingresso di nuovi dirigenti;
• modifiche alla governance;
• attribuzione di nuove procure e deleghe;
• avvio della partecipazione a gare;
• gestione di contributi e finanziamenti pubblici;
• ampliamento della rete di fornitori;
• introduzione di nuovi processi digitali;
• ingresso in settori regolati.

Non sempre occorre partire da un modello completo. In molti casi è più efficace un check-up organizzativo con risk assessment preliminare, dal quale emerge quale modello serva davvero e con quale grado di articolazione.

Il modello adottato dopo una contestazione

Un modello adottato dopo il fatto non riscrive il passato e non può valere come prova dell’organizzazione di cui l’ente disponeva al momento del reato. Confondere i due piani è un errore ricorrente.

Ciò non lo rende inutile. Dopo un infortunio grave, una contestazione ambientale, una verifica fiscale o una criticità nei rapporti con la Pubblica Amministrazione, l’adozione o la revisione del modello serve a ricostruire procedure, deleghe, flussi e controlli, a ridurre il rischio di reiterazione e ad affrontare in modo ordinato la fase successiva alla contestazione.

Conta però il metodo. Un modello redatto in fretta, per dare un segnale, nasce debole. Un modello costruito sull’analisi di ciò che è realmente accaduto interviene sulle cause.

Modello 231 e profilo ESG: il pilastro della governance

Il modello ha assunto rilievo anche nelle valutazioni ESG, in particolare sul pilastro della governance. Attraverso protocolli diretti a prevenire reati ambientali, violazioni in materia di sicurezza sul lavoro, condotte discriminatorie o illeciti nei rapporti con la Pubblica Amministrazione, l’impresa documenta l’assetto di controllo che ha effettivamente adottato, anziché limitarsi a dichiararne l’esistenza.

La progressiva integrazione fra compliance ESG e compliance 231 rende il modello un elemento di dialogo con investitori, istituti di credito e controparti che operano su mercati regolamentati, dove l’affidabilità organizzativa viene misurata e non asserita.

Domande frequenti sul Modello 231

Il codice etico sostituisce il Modello 231?

No. Il codice etico enuncia i principi di condotta, ma non contiene la mappatura dei rischi, i protocolli operativi, il sistema disciplinare, i flussi informativi, la formazione e la vigilanza dell’Organismo di Vigilanza. È una componente del sistema 231, non il sistema.

Avere il DVR aggiornato equivale ad avere un Modello 231?

No. Il documento di valutazione dei rischi risponde alla disciplina antinfortunistica e ha oggetto e finalità proprie. Il modello opera sul piano della prevenzione dei reati presupposto e della responsabilità dell’ente: i due strumenti vanno collegati, in particolare attraverso i flussi informativi verso l’Organismo di Vigilanza.

Quanto deve essere articolato il modello di una PMI?

Quanto basta a coprire i rischi effettivi dell’attività. Il criterio è la proporzione: un sistema calibrato sui processi reali dell’impresa, applicabile e aggiornabile, è preferibile a un impianto documentale ampio ma estraneo all’organizzazione.

Il modello serve anche a chi non ha mai avuto contestazioni?

È anzi la condizione migliore per costruirlo, perché consente di lavorare su rischi, procedure, deleghe e formazione senza la pressione di un procedimento in corso.

L’Organismo di Vigilanza è sempre necessario?

Nel sistema 231 l’Organismo di Vigilanza ha un ruolo centrale nella vigilanza sul funzionamento e sull’osservanza del modello. La composizione può variare in base alla struttura dell’ente, ma la funzione di vigilanza deve essere effettiva e documentata.

Adottare il modello dopo una contestazione ha ancora senso?

Sì, ai fini della riorganizzazione interna e della prevenzione futura, fermo restando che l’adozione successiva non incide sul fatto già verificatosi né dimostra l’assetto organizzativo precedente.

Nota di metodo e limiti del contenuto

Questa pagina ha finalità informativa. La qualificazione del modello come obbligatorio, richiesto, necessario o opportuno dipende da elementi che vanno accertati sul singolo ente: settore, attività autorizzate, dimensioni, sedi, appalti in corso, assetto delle deleghe, reati presupposto rilevanti e documentazione interna già esistente. Una valutazione seria non si esaurisce quindi nella domanda sull’obbligo, ma passa dalla misurazione del rischio concreto dell’impresa.

Conclusione: Il supporto dello Studio Soardi

Lo Studio Soardi di Bergamo assiste aziende su tutto il territorio nazionale nella realizzazione e aggiornamento dei Modelli Organizzativi 231.
L’avvocato Stefano Soardi ricopre numerosi incarichi come Organismo di Vigilanza (OdV) per società italiane, offrendo competenza e supporto nella gestione della compliance aziendale.

Lo Studio ha sede a Bergamo e Brescia e opera anche a Milano, Monza e Brianza, Bologna e sul resto del territorio nazionale. L’attività in materia di compliance ex D.Lgs. 231/2001 comprende l’analisi preliminare della struttura aziendale, la verifica dell’esposizione ai reati presupposto, il risk assessment e la gap analysis, la redazione della parte generale e delle parti speciali, la predisposizione o la revisione del codice etico e del sistema disciplinare, la definizione dei flussi informativi verso l’OdV, la formazione di amministratori, dipendenti e funzioni sensibili, l’aggiornamento periodico del modello e l’assistenza in caso di contestazioni o procedimenti a carico dell’ente.

Per una valutazione preliminare sull’assetto 231 della propria società è possibile scrivere allo Studio o consultare la pagina dedicata all’Avv. Stefano Soardi.