Il modello 231: quando serve e come si costruisce

Perché una società può essere «condannata»

La responsabilità è formalmente amministrativa ma accertata dal giudice penale nel processo per il reato della persona fisica, con le garanzie del processo penale. Tre condizioni: un reato compreso nel catalogo tassativo degli artt. 24 e seguenti (non qualunque reato: la truffa ordinaria ai danni di un privato, per esempio, non c'è); commesso da un apicale, anche di fatto, o da un sottoposto; nell'interesse o a vantaggio dell'ente, dove l'interesse si valuta prima (la finalità della condotta) e il vantaggio dopo (il risultato), e per i reati colposi da sicurezza sul lavoro si identifica con il risparmio di costi o l'aumento di produttività ottenuto violando le regole (Cass. SU 38343/2014, ThyssenKrupp). L'ente non risponde se l'autore ha agito nell'interesse esclusivo proprio o di terzi, e la responsabilità è autonoma: sussiste anche se l'autore non è identificato o il reato si estingue per causa diversa dall'amnistia (art. 8). Il catalogo, nato con i reati contro la pubblica amministrazione, si è esteso a più di cento fattispecie: reati informatici (art. 24-bis, rafforzati dalla L. 90/2024), criminalità organizzata, falsità in monete e marchi, reati societari compresa la corruzione tra privati, terrorismo, delitti contro la personalità individuale e sfruttamento del lavoro, abusi di mercato, omicidio e lesioni colpose da violazione delle norme sulla sicurezza (25-septies), ricettazione, riciclaggio e autoriciclaggio (25-octies), strumenti di pagamento (25-octies.1), diritto d'autore, induzione a non rendere dichiarazioni, reati ambientali (25-undecies), immigrazione clandestina, razzismo, frodi sportive, reati tributari (25-quinquiesdecies, dal 2019 per le frodi e dal 2020 per gli altri), contrabbando, reati contro il patrimonio culturale.

L'esimente: come si prova che il modello funzionava

Il sistema distingue due situazioni. Se il reato è di un apicale, la colpa di organizzazione si presume e l'ente deve provare le quattro condizioni, compresa l'elusione fraudolenta del modello da parte dell'autore: la prova è difficile, perché chi dirige la società e commette il reato di solito lo fa usando i poteri che il modello gli riconosce. Se il reato è di un sottoposto, l'ente risponde solo se la commissione è stata resa possibile dall'inosservanza degli obblighi di direzione e vigilanza, esclusa in radice se il modello era adottato ed efficacemente attuato (art. 7): qui il modello è una difesa quasi piena. In entrambi i casi conta l'efficacia concreta, non il documento: la giurisprudenza (a partire dal caso Impregilo, Cass. 23401/2022, che ha riconosciuto l'esimente a un modello ritenuto idoneo malgrado il reato) valuta se la mappatura copriva l'area del reato, se i protocolli erano applicati, se la formazione c'è stata, se l'OdV ha ricevuto i flussi e ha reagito ai segnali, se il sistema disciplinare è stato usato. Il modello va adottato con delibera dell'organo amministrativo, comunicato e formato, verificato periodicamente e aggiornato quando cambiano l'organizzazione, l'attività o il catalogo dei reati (art. 7 c. 4).

Che cosa contiene un modello

L'organismo di vigilanza

L'OdV è il perno del sistema: deve avere «autonomi poteri di iniziativa e di controllo», cioè indipendenza dal management, professionalità nelle materie del modello (diritto penale, controlli, sicurezza), continuità d'azione e un budget proprio. Può essere monocratico o collegiale; nella prassi è un professionista esterno o un collegio di due esterni e un interno senza compiti operativi (per esempio il responsabile internal audit). Nelle società di capitali il collegio sindacale, il consiglio di sorveglianza o il comitato per il controllo sulla gestione possono svolgerne le funzioni (art. 6 c. 4-bis); negli enti di piccole dimensioni l'organo dirigente stesso (c. 4), soluzione debole nei processi perché elimina la terzietà. L'OdV non gestisce e non decide: verifica che i protocolli siano applicati, riceve i flussi e le segnalazioni, fa ispezioni, propone aggiornamenti, segnala le violazioni per le sanzioni disciplinari, riferisce almeno annualmente al consiglio. La sua inerzia, documentata dai verbali mancanti, è la causa più frequente del diniego dell'esimente. Con il D.Lgs. 24/2023 l'OdV è spesso indicato come gestore del canale di segnalazione interna, con gli obblighi di riscontro entro tre mesi (whistleblowing).

Le sanzioni e come si riducono

La sanzione pecuniaria è sempre applicata, per quote: il giudice fissa il numero (da 100 a 1.000) secondo la gravità del fatto, il grado di responsabilità dell'ente e l'attività riparatoria, e l'importo della quota (da 258,23 a 1.549,37 euro) secondo le condizioni economiche dell'ente (artt. 10-11); per alcuni illeciti il decreto fissa quote specifiche (per l'omicidio colposo da sicurezza 1.000 quote) e per gli abusi di mercato percentuali del fatturato. Le sanzioni interdittive (art. 9 c. 2: interdizione dall'esercizio dell'attività, sospensione o revoca di autorizzazioni e concessioni, divieto di contrattare con la PA, esclusione da agevolazioni e contributi, divieto di pubblicizzare) si applicano solo per i reati che le prevedono e in presenza di un profitto di rilevante entità con reato di apicali o carenze organizzative, o di reiterazione (art. 13), per una durata da tre mesi a due anni; possono essere disposte in via cautelare durante le indagini (art. 45) e sostituite da un commissario giudiziale se l'interruzione dell'attività danneggerebbe la collettività o l'occupazione (art. 15). Sempre la confisca del profitto, anche per equivalente (art. 19), e la possibile pubblicazione della sentenza. L'ente che, prima del dibattimento, risarcisce il danno ed elimina le conseguenze, adotta e attua un modello idoneo e mette a disposizione il profitto evita le interdittive (art. 17) e vede la pecuniaria ridotta da un terzo alla metà, o dalla metà ai due terzi se concorrono entrambe le condizioni (art. 12 c. 2-3); la sanzione è dimezzata anche quando l'autore ha agito nel prevalente interesse proprio o il danno è tenue (art. 12 c. 1). Il processo si svolge davanti al giudice del reato presupposto, con l'ente rappresentato dal legale rappresentante non imputato e assistito da un difensore; sono ammessi il patteggiamento e il rito abbreviato.

Il modello nelle PMI: costruirlo bene

1. Decidere se serve: rischi reali (sicurezza, PA, ambiente, fiscale, informatica), richieste di clienti e bandi, rating di legalità, gruppo; per molte srl commerciali a basso rischio bastano procedure e deleghe senza modello formale.
2. Analisi dei rischi con interviste ai responsabili e verifica dei processi: è la parte che i modelli «fotocopia» saltano e che i giudici guardano per prime.
3. Protocolli proporzionati: pochi, applicabili, integrati con le procedure esistenti (qualità, sicurezza, privacy, antiriciclaggio), con responsabili e tracciabilità.
4. Deleghe e procure coerenti: chi ha il potere ha la responsabilità; la delega di funzioni per la sicurezza ex art. 16 D.Lgs. 81/2008 va scritta.
5. OdV credibile con budget, calendario di verifiche, flussi informativi e verbali; regolamento; sistema disciplinare comunicato e affisso.
6. Formazione e diffusione: sessioni per ruolo, clausole 231 nei contratti, codice etico consegnato; tenere i registri.
7. Aggiornamento a ogni novità del catalogo o dell'organizzazione, e dopo ogni violazione; almeno una revisione annuale.

Il modello 231 costa, nelle PMI, tra alcune migliaia e qualche decina di migliaia di euro più il compenso annuo dell'OdV, e non garantisce l'assoluzione; ma è l'unica difesa che il decreto riconosce all'ente e, nella pratica, riduce i reati perché costringe a guardare dove si generano. Le responsabilità individuali degli amministratori sono nella pagina sulla responsabilità dell'amministratore; il processo contro l'ente nella pagina sulla responsabilità amministrativa degli enti.