Modello organizzativo 231: struttura, adozione, efficacia esimente
Nessuna norma impone a un'impresa di adottare un modello 231. L'articolo 6 del D.lgs 8 giugno 2001, n. 231 dice una cosa diversa: l'ente chiamato a rispondere di un reato commesso da un suo apicale non risponde se prova di avere adottato ed efficacemente attuato, prima del fatto, un modello di organizzazione e gestione idoneo a prevenire reati della specie di quello verificatosi. La distanza fra «obbligo» e «condizione dell'esimente» decide chi deve provare cosa davanti al giudice penale, e cambia il modo in cui il documento va costruito.
Contenuto a finalità informative. Non sostituisce la valutazione del singolo caso.
231/2001 e 231/2007: perché lo stesso numero indica due cose diverse
La coincidenza del numero produce equivoci ricorrenti nelle riunioni di compliance, soprattutto quando allo stesso tavolo siedono la direzione legale e il consulente antiriciclaggio.
| D.lgs 231/2001 | D.lgs 231/2007 | |
|---|---|---|
| Materia | responsabilità amministrativa degli enti da reato | prevenzione del riciclaggio e del finanziamento del terrorismo |
| Destinatari | società, enti e associazioni, anche prive di personalità giuridica | i soggetti obbligati elencati dalla norma, fra cui banche, professionisti, revisori |
| Strumento tipico | modello di organizzazione, gestione e controllo, organismo di vigilanza | adeguata verifica, conservazione, segnalazione di operazione sospetta |
| Chi accerta | il giudice penale, nel processo a carico dell'ente | UIF presso la Banca d'Italia, MEF per le sanzioni amministrative |
Il punto di contatto esiste ed è uno solo: l'articolo 63 del D.lgs 231/2007 ha inserito nel decreto del 2001 l'articolo 25-octies, che ha portato ricettazione, riciclaggio e impiego di denaro di provenienza illecita fra i reati presupposto (l'autoriciclaggio è arrivato dopo, con la legge 186/2014). Per il resto sono due impianti separati. Chi cerca gli obblighi di adeguata verifica e di segnalazione alla UIF sta cercando gli adempimenti del D.lgs 231/2007, non il modello organizzativo.
Regola redazionale che risparmia tempo a chi legge i documenti interni: scrivere sempre l'anno per esteso. Un «231» isolato in una email costringe il destinatario a ricostruire il contesto.
Il modello 231 non è obbligatorio: è la condizione dell'esimente
L'articolo 5 stabilisce che l'ente risponde dei reati commessi nel suo interesse o a suo vantaggio da persone in posizione apicale o da soggetti sottoposti alla loro direzione o vigilanza. Non risponde se quelle persone hanno agito nell'interesse esclusivo proprio o di terzi.
Da qui il decreto si divide in due regimi di prova.
Reato dell'apicale (art. 6). L'ente va esente da responsabilità solo se prova quattro cose insieme: che l'organo dirigente ha adottato ed efficacemente attuato, prima della commissione del fatto, un modello idoneo; che la vigilanza sul funzionamento e sull'osservanza del modello è stata affidata a un organismo dotato di autonomi poteri di iniziativa e controllo; che l'autore ha commesso il reato eludendo fraudolentemente il modello; che non c'è stata omessa o insufficiente vigilanza da parte di quell'organismo. La lettera della norma mette queste circostanze a carico dell'ente. La Cassazione ha però escluso che si tratti di una vera inversione dell'onere della prova: nella sentenza sul caso Impregilo (Sez. VI, 15 giugno 2022, n. 23401) ha ribadito che la colpa di organizzazione va provata dall'accusa e che dalla commissione del reato non si deduce l'inidoneità del modello.
Reato del sottoposto (art. 7). L'ente risponde se la commissione del reato è stata resa possibile dall'inosservanza degli obblighi di direzione o vigilanza. L'inosservanza è esclusa se, prima del fatto, l'ente aveva adottato ed efficacemente attuato un modello idoneo. Qui l'onere della prova resta all'accusa, ma il modello continua a essere la linea di difesa.
Quanto vale l'esimente si capisce dalle sanzioni. Quella pecuniaria si applica per quote, non meno di cento e non più di mille, con importo della singola quota da 258 a 1.549 euro: il massimo teorico supera 1.500.000 euro. Per i reati che le prevedono si aggiungono le sanzioni interdittive dell'articolo 9, e per un'impresa che lavora con committenza pubblica il divieto di contrattare con la pubblica amministrazione pesa più di qualunque somma. I criteri di imputazione, il catalogo dei reati presupposto e le sanzioni sono trattati per esteso nell'articolo sulla responsabilità dell'ente ex D.lgs 231/2001.
Poi c'è la parte che nessun articolo chiama obbligo e che nella pratica lo è diventata:
- l'articolo 2086, comma 2, del codice civile, come introdotto dall'articolo 375 del D.lgs 14/2019, impone all'imprenditore che opera in forma societaria o collettiva di istituire assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell'impresa;
- capitolati di gara, accreditamenti regionali e requisiti di filiera chiedono il modello come condizione di partecipazione o di qualifica fornitore;
- l'adozione di modelli organizzativi ai sensi del decreto concorre all'attribuzione dei punteggi aggiuntivi nel rating di legalità dell'AGCM;
- nelle operazioni straordinarie, la due diligence di compliance è ormai standard, e un modello assente o mai aggiornato entra nelle rappresentazioni e garanzie;
- il D.lgs 24/2023, che ha recepito la direttiva UE 2019/1937 sul whistleblowing, estende l'obbligo di istituire canali di segnalazione interna anche ai soggetti privati sotto i cinquanta lavoratori che abbiano adottato un modello 231. In questo caso è l'adozione del modello a far scattare un adempimento ulteriore.
Le parti di un modello: mappatura dei rischi, protocolli, flussi, sistema disciplinare
L'articolo 6, comma 2, elenca i requisiti minimi. Sono cinque, più il comma 2-bis introdotto dalla legge 179/2017 sul whistleblowing, e ognuno cede in giudizio in un modo prevedibile.
| Componente | Cosa deve contenere | Dove cede |
|---|---|---|
| Mappatura delle attività sensibili (lett. a) | i processi nel cui ambito i reati presupposto possono essere commessi | elenco copiato da un modello di altro settore |
| Protocolli decisionali (lett. b) | come si formano e si attuano le decisioni sulle attività a rischio | principi generici senza chi fa cosa, con quale soglia |
| Gestione delle risorse finanziarie (lett. c) | modalità idonee a impedire la commissione dei reati | poteri di spesa non allineati alle procure depositate |
| Flussi informativi verso l'organismo di vigilanza (lett. d) | obblighi di informazione, contenuto, periodicità, mittenti | previsti nel documento, mai attivati nei fatti |
| Sistema disciplinare (lett. e) | sanzioni per il mancato rispetto delle misure, per ogni categoria di destinatari | rinvio a un contratto collettivo sbagliato, o nessun caso mai contestato |
| Canali di segnalazione (co. 2-bis, sostituito dal D.lgs 24/2023) | canale interno, divieto di ritorsione, sanzioni per chi viola le tutele | canale attivo ma non riservato, o gestito dalla linea gerarchica del segnalato |
Nella prassi il documento si articola in una parte generale (destinatari, governance, organismo di vigilanza, sistema disciplinare, formazione) e in parti speciali, una per famiglia di reato presupposto rilevante. Il codice etico è un documento distinto: fissa i principi, non contiene i controlli, e da solo non integra il modello.
Il catalogo dei reati presupposto merita un'avvertenza a parte. È partito nel 2001 dai reati contro la pubblica amministrazione e dalle frodi (artt. 24 e 25) e si è allargato per stratificazioni successive: delitti informatici e trattamento illecito di dati (art. 24-bis), omicidio colposo e lesioni gravi o gravissime commessi con violazione delle norme sulla salute e sicurezza sul lavoro (art. 25-septies), riciclaggio e autoriciclaggio (art. 25-octies), reati tributari (art. 25-quinquiesdecies). Un modello redatto sette anni fa e mai toccato copre un catalogo che non esiste più.
La mappatura delle attività sensibili: da dove si comincia
Non dall'elenco dei reati. Si comincia dai processi reali, e l'elenco dei reati serve dopo, come filtro.
- Inventario dei processi. Ciclo attivo, ciclo passivo, selezione e assunzione del personale, rapporti con enti pubblici e autorità di controllo, salute e sicurezza, ambiente, sistemi informativi, finanza e tesoreria, omaggi e liberalità, trasferte e note spese, rapporti infragruppo.
- Deleghe, procure e poteri di firma. L'organigramma dichiarato e quello che risulta dalle procure depositate coincidono raramente. Questa è la verifica che porta a galla il maggior numero di anomalie, e va fatta prima di scrivere qualunque protocollo.
- Reati astrattamente configurabili processo per processo. Non tutti i reati presupposto sono possibili in ogni impresa: una società di servizi senza cantieri e senza rapporti con la pubblica amministrazione ha un profilo diverso da un'impresa di costruzioni. Scrivere una parte speciale su reati impossibili indebolisce il documento, perché segnala che nessuno ha guardato l'azienda.
- Rischio inerente, controlli esistenti, rischio residuo. I controlli esistenti quasi mai sono zero: separazione dei ruoli, doppia firma, autorizzazioni a soglia, controlli contabili. Il modello li formalizza e colma i vuoti, non li reinventa.
- Interviste ai responsabili di processo. Chi firma gli ordini, chi apre i conti, chi tiene i rapporti con l'ispettore, chi decide un'assunzione. Le risposte vanno verbalizzate: sono la prova che la mappatura è stata fatta sull'impresa reale.
Il legale interno è spesso l'unica figura che vede tutto il perimetro insieme, perché riceve le contestazioni, i contratti e le richieste delle autorità. Per questo la mappatura funziona meglio quando è coordinata dalla direzione legale e non delegata interamente all'esterno.
Adozione, aggiornamento e prova dell'attuazione effettiva
L'adozione è un atto dell'organo dirigente: delibera del consiglio di amministrazione, verbale, data. L'articolo 6 richiede che il modello sia stato adottato ed efficacemente attuato prima della commissione del fatto, quindi la data e la sua ricostruibilità non sono un dettaglio formale.
L'aggiornamento ha una regola scritta. L'articolo 7, comma 4, lega l'efficace attuazione a due condizioni: la verifica periodica con eventuale modifica del modello quando si scoprono violazioni significative delle prescrizioni o quando intervengono mutamenti nell'organizzazione o nell'attività, e un sistema disciplinare idoneo. Una riorganizzazione, l'apertura di una sede, un'acquisizione, l'ingresso in un settore regolato: sono tutti eventi che aprono la finestra di aggiornamento.
Il problema pratico arriva due anni dopo, quando bisogna dimostrare che il modello era vivo. Le tracce che valgono sono queste:
- verbali delle riunioni dell'organismo di vigilanza, con ordine del giorno e decisioni;
- flussi informativi effettivamente ricevuti, con data e mittente;
- programma di formazione con registri di presenza e materiali, distinti per categoria di destinatari;
- esiti degli audit e dei controlli svolti sulle attività sensibili, con le azioni correttive e la loro chiusura;
- procedimenti disciplinari aperti, anche quelli conclusi senza sanzione;
- storico delle versioni del modello e delle procedure collegate, con evidenza di chi ha approvato cosa e quando.
Sono documenti, e vanno conservati con gli stessi criteri di integrità e ricostruibilità che valgono per gli obblighi di conservazione dei documenti. Un archivio in cui non si riesce a datare una versione del modello vale quanto un archivio assente. La differenza la fa il punto in cui i documenti vivono: un repository con versionamento e permessi, come quello gestito dal modulo documentale della piattaforma Quantum, rende ricostruibile la cronologia senza doverla ricomporre a posteriori dalle caselle di posta.
Resta l'articolo 17: le sanzioni interdittive non si applicano se l'ente, prima della dichiarazione di apertura del dibattimento di primo grado, ha risarcito integralmente il danno ed eliminato le conseguenze del reato, ha messo a disposizione il profitto per la confisca e ha eliminato le carenze organizzative adottando modelli idonei. Anche il modello adottato tardi ha un valore, ma è un valore diverso e più caro.
Perché i modelli standard non reggono in giudizio
Il giudizio di idoneità è ex ante. Il giudice non valuta il modello alla luce del reato che si è verificato, altrimenti nessun modello sarebbe mai idoneo per definizione: valuta se, al momento dei fatti, quel modello era ragionevolmente in grado di prevenire reati della specie di quello poi commesso. Le Sezioni Unite della Cassazione penale, con la sentenza n. 38343 del 18 settembre 2014 sul caso ThyssenKrupp, hanno collocato nella colpa di organizzazione il criterio di imputazione all'ente; la già citata Impregilo è tornata sui parametri con cui si misura l'idoneità del modello, escludendo che il reato commesso basti a dichiararlo inadeguato.
Un modello scaricato e adattato con il trova e sostituisci si riconosce da segnali costanti:
- cita processi che l'azienda non ha e tace su quelli che ha;
- la parte speciale sui reati contro la pubblica amministrazione è dettagliata anche in un'impresa che non ha rapporti con la pubblica amministrazione, mentre la salute e sicurezza è liquidata in mezza pagina in un'impresa con tre stabilimenti;
- l'organigramma allegato è superato di due riorganizzazioni;
- il sistema disciplinare rinvia a un contratto collettivo diverso da quello applicato;
- i flussi informativi verso l'organismo di vigilanza sono elencati e nessuno di essi risulta mai pervenuto.
Le linee guida di Confindustria per la costruzione dei modelli, comunicate al Ministero della giustizia ai sensi dell'articolo 6, comma 3, sono una base metodologica utile, ed esistono linee guida analoghe di altre associazioni di categoria. Il decreto però non attribuisce loro alcuna patente di idoneità: dicono come costruire, non certificano il risultato. Nessun soggetto rilascia una certificazione di idoneità del modello opponibile al giudice penale.
Chi lo scrive e chi lo mantiene nel tempo
Scrivere il modello e mantenerlo sono due mestieri diversi. Confonderli è la ragione per cui tanti modelli invecchiano male.
Chi lo scrive. Un gruppo di lavoro, non un autore singolo: direzione legale, funzione risk o compliance dove esiste, responsabili dei processi mappati, consulente esterno per il metodo e per il confronto con la giurisprudenza. Senza i responsabili di processo i protocolli finiscono per descrivere un'azienda ideale.
Chi lo adotta. L'organo dirigente, con delibera. Nei gruppi, ogni società adotta il proprio modello: la capogruppo può dare l'indirizzo metodologico, non può adottare per le controllate.
Chi vigila. L'organismo di vigilanza, con i requisiti che la prassi ha consolidato attorno all'articolo 6: autonomia, indipendenza, professionalità e continuità d'azione. Il decreto ammette due semplificazioni: negli enti di piccole dimensioni i compiti possono essere svolti direttamente dall'organo dirigente (art. 6, comma 4) e nelle società di capitali possono essere attribuiti al collegio sindacale, al consiglio di sorveglianza o al comitato per il controllo della gestione (art. 6, comma 4-bis). La scelta va motivata e sostenuta con un budget autonomo, altrimenti l'autonomia resta sulla carta.
Chi lo mantiene. Nella maggior parte delle imprese, la direzione legale. È la funzione che intercetta per prima i mutamenti rilevanti: nuove sedi, nuovi contratti pubblici, contenziosi, ispezioni. Per le direzioni legali d'impresa il modello 231 è una scadenza ricorrente che convive con le altre: rinnovi contrattuali, adempimenti privacy, termini processuali delle cause seguite. Gli stessi presidi organizzativi che tengono in ordine gli adempimenti in materia di protezione dei dati valgono qui, perché la logica probatoria è la stessa: conta ciò che si riesce a documentare.
Un calendario minimo funziona meglio di un piano ambizioso: flussi informativi con periodicità fissata per iscritto, riunioni dell'organismo di vigilanza a cadenza definita, relazione annuale all'organo dirigente, revisione del modello almeno una volta l'anno e ogni volta che cambia qualcosa di rilevante.
Il test dei ventiquattro mesi
Prima di riaprire il documento per aggiornarlo, conviene un controllo che richiede mezza giornata. Si prendono gli ultimi ventiquattro mesi e si contano tre cose: quanti flussi informativi ha ricevuto l'organismo di vigilanza, quante sessioni di formazione sono state erogate e a chi, quanti procedimenti disciplinari sono stati aperti per violazione delle misure del modello. Se il risultato è zero su tutte e tre le voci il modello non è attuato, e riscriverlo non cambierà l'esito di un procedimento.
L'errore da evitare è l'aggiornamento a evento avvenuto. Un modello rivisto dopo la notifica dell'informazione di garanzia dimostra reattività, non attuazione preventiva, e l'articolo 6 chiede la seconda. Il passo successivo utile, se il test dà esito negativo, è fissare per iscritto tre date: la prossima riunione dell'organismo di vigilanza, la scadenza del primo flusso informativo periodico e il giorno in cui la mappatura verrà confrontata con l'organigramma vigente.
