Sulla scrivania c'è il verbale con cui il consiglio di amministrazione ha deciso di dotarsi del Modello organizzativo: una delibera, un incarico, una data. Il risk assessment 231 comincia da lì, e viene prima di qualunque procedura scritta: l'art. 6, comma 2, lettera a) del D.Lgs. 231/2001 chiede di individuare le attività nel cui ambito possono essere commessi reati, e solo su quella mappa si costruiscono i protocolli. Da lì in avanti conta l'ordine dei passaggi, perché un'analisi fatta a pezzi produce un documento che in giudizio non difende nessuno.
Da dove si parte: i documenti che l'azienda ha già
Quasi nessuna impresa parte da zero. L'organigramma, le visure con i poteri di firma, le deleghe interne, le procedure dei sistemi certificati, il documento di valutazione dei rischi per la sicurezza: tutto questo esiste già negli armadi, e dice molto più di quanto sembri. Il lavoro iniziale non è produrre carta nuova. È leggere quella vecchia con la domanda giusta: in quale punto di questo processo una persona, per favorire la società, potrebbe commettere uno dei reati del catalogo?
La domanda viene direttamente dalla norma. Il D.Lgs. 231/2001 (testo vigente al 23/10/2026), all'art. 6, comma 2, pretende dal Modello cinque contenuti minimi, e il primo è appunto la mappa delle attività a rischio. Chi vuole inquadrare prima il sistema nel suo complesso trova sul nostro sito la pagina dedicata alla disciplina che governa le sanzioni alle società; qui restiamo sul metodo.
| Documento già disponibile | Che cosa dice all'analisi |
|---|---|
| Organigramma e deleghe | Chi decide davvero, chi firma, dove i poteri si concentrano |
| Procedure ISO 9001 / 45001 | I processi già descritti e i controlli già esistenti |
| DVR (sicurezza sul lavoro) | I rischi di infortunio, base per l'area dell'art. 25-septies |
| Bilanci, contratti pubblici, contenzioso | I rapporti con il fisco e con la P.A., le aree finanziarie sensibili |
Il perimetro del risk assessment è più largo della sicurezza
Attenzione a un equivoco frequente: il documento di valutazione dei rischi copre la sicurezza, non il perimetro 231. Quel perimetro è molto più largo e si orienta meglio guardando il catalogo dei reati presupposto letto per famiglie: tributario, societario, corruzione, ambiente, lavoro. Un'azienda manifatturiera e una società di servizi hanno mappe diversissime, ed è esattamente questo il punto.
Un chiarimento sui tempi: il risk assessment 231 non è un adempimento da fare una volta per tutte. Si rifà quando l'azienda cambia pelle, cioè a ogni acquisizione, a ogni nuova linea di attività, a ogni riorganizzazione dei poteri, e quando il legislatore amplia il catalogo dei reati. Una mappa ferma a tre anni fa descrive un'azienda che non esiste più.
La mappatura del risk assessment 231, passaggio per passaggio
L'ordine non è un vezzo da consulenti: ogni passaggio alimenta il successivo. Prima si fotografa l'azienda come funziona davvero, poi si incrociano i processi con i reati, poi si misura, e solo alla fine si scrive. Chi inverte la sequenza finisce con protocolli eleganti appoggiati su processi immaginari.
Il cuore del lavoro sta nelle interviste ai responsabili di funzione. È il momento in cui l'analisi smette di essere un esercizio documentale: il responsabile acquisti racconta come si sceglie un fornitore quando c'è fretta, l'amministrazione spiega chi può autorizzare un pagamento fuori ciclo. Le risposte scomode valgono oro, perché segnalano il punto esatto in cui il controllo formale e la prassi si separano.
- Censimento dei processi e delle funzioni, con i nomi di chi decide e di chi firma, non le caselle teoriche dell'organigramma.
- Incrocio di ogni processo con il catalogo dei reati presupposto, come chiede l'art. 6, comma 2, lettera a).
- Misura del rischio per ogni attività sensibile: probabilità e impatto, su una scala dichiarata in premessa e uguale per tutti.
- Esame dei controlli esistenti, a partire dalla gestione delle risorse finanziarie che la lettera c) vuole idonea a impedire i reati.
- Gap analysis e piano d'azione: dove il controllo manca nasce un protocollo (lettera b); per la sicurezza il riferimento è l'art. 30 del D.Lgs. 81/2008.
I flussi di denaro e i destinatari del lavoro
I flussi di denaro meritano un passaggio dedicato. Anticipi, rimborsi spese, consulenze, sponsorizzazioni, omaggi: sono i canali tipici attraverso cui si costituiscono provviste, e il D.Lgs. 81/2008 non li tocca, mentre la lettera c) dell'art. 6 ne fa un contenuto obbligatorio del Modello.
Il prodotto finale ha due pezzi: la matrice dei rischi, con un punteggio per ogni attività sensibile, e il documento di metodo che spiega come quei punteggi sono stati assegnati. Entrambi con una data. La costruzione del Modello nel suo insieme poggia su questi due documenti, e li richiama in ogni protocollo. C'è un destinatario ulteriore, spesso dimenticato: l'Organismo di Vigilanza, che dalla matrice ricava le aree su cui concentrare i controlli e i flussi informativi che la lettera d) dell'art. 6 impone di prevedere. Un risk assessment 231 che l'OdV non ha mai letto è un segnale che qualcosa, nel sistema, gira a vuoto.
Gli errori di sequenza: che cosa succede se si salta un passo
Il più diffuso: scrivere i protocolli prima della mappa. È la genesi del modello fotocopia, l'unico documento di cento pagine che si produce in un pomeriggio, e che mappa con grande precisione i rischi di un'altra azienda. In giudizio il difetto emerge subito, perché il giudice valuta la tenuta del Modello confrontandolo con l'organizzazione concreta: se la società ha tre stabilimenti e il documento parla di uffici, la partita è chiusa prima di cominciare.
Secondo errore: misurare i rischi prima di aver censito i processi. I punteggi sembrano oggettivi, ma si riferiscono a reparti descritti per sentito dire, e alla prima verifica dell'accusa su ciò che va provato in tema di colpa di organizzazione la matrice si rovescia da scudo a indizio: documenta che l'azienda sapeva e ha presidiato male.
La data del risk assessment è una prova, non una formalità
Terzo errore, il più sottovalutato: lasciare l'analisi senza data e senza storia. L'esimente dell'art. 6, comma 1, lettera a) esiste solo per il Modello adottato ed efficacemente attuato prima della commissione del fatto. Nella pratica difensiva questo si traduce in un'indicazione precisa: conservare i verbali delle interviste, le versioni successive della matrice e la delibera di approvazione, ciascuna con la propria data. Quando arriva una contestazione, la difesa produce quei documenti per dimostrare che l'attuazione è anteriore al fatto; senza, discute di un file senza storia, e l'onere diventa una salita.
Il conto dell'errore è scritto nell'art. 10 del decreto: se il Modello non supera il vaglio, la sanzione pecuniaria si calcola per quote, da un minimo di 100 a un massimo di 1.000, con un valore unitario fra 258,23 e 1.549,37 euro. Oltre un milione e mezzo di euro nei casi più gravi, prima ancora di parlare di sanzioni interdittive.
Il primo passo da fare oggi non è nominare un consulente né comprare un software: è mettere in fila su un foglio i processi veri dell'azienda, con i nomi di chi li governa. Tutto il resto del lavoro poggia su quella pagina, ed è l'unica che nessun modello altrui può fornire.
Avv. Stefano Soardi - testo redatto il 23 ottobre 2026.
Lo Studio assiste le imprese dalle sedi di Bergamo e Brescia e opera su tutto il territorio nazionale; per i gruppi con capogruppo all'estero, il lavoro sul Modello si svolge anche in lingua inglese.
