Un'impresa riceve la notifica di un'informazione di garanzia: la Procura contesta un reato commesso nell'interesse della società e chiede conto del suo modello organizzativo. Da quel momento l'idoneità del modello 231, cioè la capacità del modello di prevenire reati della specie di quello verificatosi, non è più un capitolo della parte generale: è l'oggetto del giudizio. Questa guida propone un percorso di verifica in cinque passaggi, da percorrere prima che la domanda la ponga un pubblico ministero, e spiega con quali criteri il modello viene valutato.
Indice
- La verifica dell'idoneità del modello 231 in cinque passaggi
- I difetti ricorrenti che fanno cadere il modello
- La checklist dell'idoneità del modello 231
- Che cosa chiede la legge: gli artt. 6 e 7
- Chi risponde della valutazione dentro l'impresa
- Il giudizio sull'idoneità del modello 231 è ex ante e in concreto
- Che cosa cambia, in pratica
- Domande frequenti
La verifica dell'idoneità del modello 231 in cinque passaggi
Chi amministra una società dotata di modello, o siede nel suo organismo di vigilanza, può replicare in via preventiva il controllo che un pubblico ministero farebbe a posteriori. Il percorso che segue ordina le domande dalla più elementare alla più esigente: ci si ferma al primo passaggio che dà esito negativo, perché i successivi poggiano su di esso.
Primo passaggio: il modello descrive l'impresa reale?
Organigramma, deleghe, procure, sedi, linee di business. Se il modello parla di funzioni che non esistono più, ignora una società acquisita due anni fa o attribuisce poteri a persone uscite dall'azienda, la verifica si chiude qui: prima di ogni altra cosa serve un riallineamento.
Secondo passaggio: la mappatura dei rischi copre il catalogo vigente?
Il catalogo dei reati presupposto cresce quasi ogni anno. Una mappatura ferma a tre anni fa non contempla le fattispecie aggiunte nel frattempo e lascia scoperte aree in cui la responsabilità dell'ente può maturare oggi.
Terzo passaggio: i protocolli sono eseguibili, e vengono eseguiti?
Un protocollo che richiede quattro firme per ogni pagamento, in un'azienda con due amministratori, non sarà mai applicato. Un protocollo applicato ma privo di traccia documentale, in giudizio, equivale a un protocollo inesistente. La domanda operativa è doppia: le regole sono compatibili con il lavoro quotidiano, e i controlli lasciano evidenza scritta?
Quarto passaggio: i flussi verso l'organismo di vigilanza esistono davvero?
Il ruolo e i mezzi dell'organismo di vigilanza sono il presidio di funzionamento del modello. Se l'organismo non riceve flussi periodici dalle funzioni a rischio, se i suoi verbali sono fotocopie l'uno dell'altro, se il suo budget è simbolico, la vigilanza è nominale. E un modello non vigilato è, per ciò stesso, un modello non attuato.
Quinto passaggio: il sistema vive nel tempo?
Formazione erogata e documentata, sistema disciplinare applicato quando serve, aggiornamento del modello dopo ogni modifica rilevante del catalogo o dell'organizzazione. Il modello che supera questo passaggio non è un adempimento: è un sistema di gestione.
I difetti ricorrenti che fanno cadere il modello
Capita spesso che i modelli esaminati condividano gli stessi vizi, con notevole costanza. Il più diffuso è il modello standard, comprato o adattato in fretta e mai calato sui processi reali dell'azienda: identico per l'impresa edile e per la software house, riconoscibile dalle parti generali sovrabbondanti e dalle parti speciali evanescenti. Seguono l'organismo di vigilanza inerte, privo di verbali, di controlli o di reale indipendenza; i flussi informativi assenti o ridotti a un adempimento formale; la formazione di carta, firmata ma non erogata né documentata, oppure uguale per tutti; il modello mai aggiornato dopo riorganizzazioni, acquisizioni o novità normative, lasciato a sé stesso.
Nessuno di questi difetti, preso da solo, condanna necessariamente il modello. La loro somma sì, perché disegna il quadro di un adempimento cartolare: l'esatto contrario di quell'attuazione efficace che la legge richiede accanto all'adozione.
La checklist dell'idoneità del modello 231
| Passaggio | La domanda da farsi | Il segnale d'allarme |
|---|---|---|
| 1. Corrispondenza | Il modello descrive l'impresa com'è oggi? | Funzioni, deleghe o sedi non più esistenti |
| 2. Mappatura | Copre il catalogo dei reati vigente? | Risk assessment fermo da più di due anni |
| 3. Protocolli | Sono eseguibili e lasciano traccia? | Regole ignorate nella prassi, controlli senza evidenza |
| 4. Vigilanza | L'OdV riceve flussi e opera con mezzi propri? | Verbali seriali, budget simbolico, nessuna segnalazione |
| 5. Vita del sistema | Formazione, disciplina e aggiornamento funzionano? | Corsi solo firmati, nessuna sanzione mai irrogata, modello mai revisionato |
La checklist orienta la verifica, non la esaurisce: ogni azienda ha processi, rischi e storia propri, e ogni caso va valutato sulle carte.
Che cosa chiede la legge: gli artt. 6 e 7
Il decreto non contiene una definizione di modello idoneo, ma elenca ciò che il modello deve fare. L'art. 6 richiede che l'ente individui le attività nel cui ambito possono essere commessi reati e preveda protocolli per la formazione e l'attuazione delle decisioni nelle aree a rischio. Allo stesso ente chiede di stabilire come gestire le risorse finanziarie idonee a impedire i reati, di disciplinare gli obblighi di informazione verso l'organismo di vigilanza e di introdurre un sistema disciplinare per chi viola le misure. L'art. 7, per i reati dei sottoposti, aggiunge il resto del quadro: verifica periodica, aggiornamento quando emergono violazioni significative o quando cambiano organizzazione e attività, misure adeguate alla natura e alla dimensione dell'ente. Il D.Lgs. 231/2001 si legge su Normattiva (testo vigente al 5 ottobre 2026).
Da questo elenco discende il criterio di fondo: l'idoneità si misura sulla corrispondenza fra il modello e l'impresa. Un documento eccellente scritto per un'azienda che non esiste più, o che non è mai esistita, non è un modello idoneo; è un costo travestito da presidio. Il quadro generale del sistema in cui il requisito si inserisce è svolto nella pagina sulla disciplina della responsabilità degli enti.
Chi risponde della valutazione dentro l'impresa
La responsabilità di dotare l'ente di un modello idoneo appartiene all'organo dirigente. È il consiglio di amministrazione che adotta il modello e ne cura l'efficace attuazione, e che dovrà rendere conto delle scelte fatte, comprese quelle di risparmio. All'organismo di vigilanza spettano il controllo sul funzionamento e sull'osservanza e la cura dell'aggiornamento: il suo compito non è certificare che tutto va bene, è documentare ciò che non va e pretenderne la correzione. Quando i suggerimenti dell'organismo restano lettera morta, il difetto cessa di essere tecnico. Diventa una scelta dell'organo dirigente, con tutto ciò che ne segue in punto di colpa di organizzazione.
La progettazione e la revisione del modello organizzativo sono il luogo in cui questa distribuzione di ruoli prende forma: un modello costruito insieme a chi conosce i processi aziendali nasce già più vicino all'idoneità di uno calato dall'alto.
Il giudizio sull'idoneità del modello 231 è ex ante e in concreto
Quando l'idoneità del modello 231 arriva davanti a un giudice, la valutazione segue una regola precisa. Si giudica riportandosi al momento del fatto, con la cosiddetta prognosi postuma: il modello, così come era allora congegnato e attuato, riduceva il rischio di quel tipo di reato a un livello accettabile? È un giudizio su ciò che il modello poteva prevenire, non su ciò che non ha prevenuto. Il fatto che un reato sia stato commesso non dimostra, da solo, che il modello fosse inidoneo: il decreto stesso mette in conto che un modello ben costruito possa essere aggirato, tanto che per i reati degli apicali l'esimente richiede la prova dell'elusione fraudolenta delle misure. Se il reato bastasse a bocciare il modello, l'esimente non troverebbe mai applicazione.
Va riconosciuto, con onestà, che la prognosi postuma convive male con il senno di poi: chi osserva che nella pratica i modelli faticano a superare il vaglio del giudice, una volta che il reato c'è stato, ha dalla sua l'esperienza applicativa, e l'obiezione non si liquida con una citazione. Il terreno su cui la partita si gioca davvero resta però la colpa di organizzazione e ciò che l'accusa deve provare: il deficit organizzativo specifico che ha reso possibile il fatto. In concreto significa, invece, che non esistono modelli idonei in astratto: la stessa procedura di gestione degli omaggi può essere adeguata in una società commerciale e insufficiente in una che lavora con la pubblica amministrazione.
Le due mosse della difesa prima del dibattimento
Sul piano difensivo, due mosse non ovvie. La prima: subito dopo la notifica di un'informazione di garanzia all'ente conviene chiedere all'organismo di vigilanza una relazione straordinaria sullo stato di attuazione del modello e depositarla con una memoria difensiva, insieme a verbali, flussi ed evidenze dei controlli, già nella finestra dell'avviso di conclusione delle indagini (art. 415-bis c.p.p.): il giudizio si forma sulle carte che il fascicolo contiene.
La seconda vale quando il modello mancava o aveva falle: l'art. 17 del D.Lgs. 231/2001 esclude le sanzioni interdittive se, prima della dichiarazione di apertura del dibattimento di primo grado, l'ente risarcisce integralmente il danno, elimina le carenze organizzative adottando e attuando un modello idoneo e mette a disposizione il profitto ai fini della confisca. Non è una consulenza sul caso concreto: è il perimetro dentro cui la difesa ragiona.
Che cosa cambia, in pratica
Il modello 231 arriva sulla scrivania del penalista in due vesti: come documento da revisionare, quando l'impresa sceglie di farlo per tempo, e come atto del fascicolo, quando un procedimento è già aperto. Il momento tipico in cui l'ente si rivolge allo Studio resta il secondo: dopo un avviso, un'informazione di garanzia, una notifica all'amministratore. A quel punto la domanda non è più se il modello sia scritto bene, ma che cosa l'azienda possa documentare di avere fatto.
Lo Studio raccomanda di trattare la data dell'ultimo aggiornamento come il primo indicatore da guardare, accostandola alla storia recente della società: un'azienda che ha cambiato assetto, mercato o vertici mentre il modello restava identico sa già dove si annideranno i rilievi. Il principio di fondo è che il modello deve essere vivo, crescere e cambiare con l'azienda. E vale l'indicazione che diamo al primo incontro: raccogliere subito i documenti dell'attuazione, perché a distanza di tempo non si trovano più.
Domande frequenti sull'idoneità del modello 231
Che cosa si intende per idoneità del modello 231?
È la capacità del modello organizzativo di prevenire reati della specie di quello verificatosi, valutata con giudizio ex ante e in concreto: si guarda all'attività reale dell'ente e al momento del fatto, non al senno di poi.
Il reato commesso dimostra da solo che il modello era inidoneo?
No. Il decreto prevede espressamente che un modello idoneo possa essere eluso, tanto che per i reati degli apicali l'esimente presuppone l'elusione fraudolenta delle misure. Ciò che rileva è il deficit organizzativo specifico, non l'esito.
Ogni quanto va aggiornato il modello 231?
Non esiste una cadenza di legge. L'aggiornamento è dovuto quando cambiano l'organizzazione o l'attività, quando il catalogo dei reati si amplia e quando le verifiche fanno emergere violazioni significative: è il cambiamento, non il calendario, a imporlo.
Un modello comprato a pacchetto può essere idoneo?
Difficilmente. Il testo standard può fornire l'ossatura, ma l'idoneità dipende dalla mappatura dei rischi effettivi e da protocolli cuciti sui processi di quella impresa: le parti che un pacchetto, per definizione, non contiene.
Chi valuta l'idoneità del modello prima che lo faccia un giudice?
L'organo dirigente, che ne risponde, e l'organismo di vigilanza, che ne controlla funzionamento e osservanza. Una verifica indipendente periodica, condotta con il metodo dei cinque passaggi, consente di intervenire quando correggere costa ancora poco.
La certificazione del modello garantisce l'esimente?
No. Attestazioni e asseverazioni possono documentare la serietà del percorso, ma non vincolano il giudice, al quale il decreto riserva la valutazione di idoneità ed efficace attuazione.
Se la sua impresa vuole sottoporre il proprio modello a una verifica di tenuta, o costruirne uno partendo dai rischi reali dell'attività, lo Studio esamina la documentazione e indica le priorità di intervento.
Soardi Studio Legale assiste imprese, amministratori e organi di controllo nel diritto penale d'impresa e nella compliance 231, con sedi a Bergamo e Brescia e attività su tutto il territorio nazionale.
Avv. Stefano Soardi, data di stesura: 5 ottobre 2026
