La prevenzione si misura nelle decisioni, non nel numero delle procedure
Chi può autorizzare un pagamento? Chi verifica una prestazione? Chi interviene quando una decisione commerciale supera i limiti? Il Modello 231 diventa utile quando queste domande trovano risposte coerenti, applicate e dimostrabili.
Un fornitore chiede di anticipare il pagamento di una fattura per rispettare una scadenza contrattuale. Il responsabile di funzione ritiene la richiesta ragionevole. L’amministrazione riceve una comunicazione priva di dettagli. Nel contratto la prestazione è descritta in modo generico e non è chiaro a chi spetti verificare che sia stata eseguita.
In questo scenario, puramente ipotetico, nessuno ha commesso un illecito: ognuno ha agito in buona fede. Emerge però una fragilità organizzativa. Se domani qualcuno chiedesse di ricostruire la vicenda, l’impresa farebbe fatica a dire con chiarezza chi ha deciso, chi ha controllato e sulla base di quali informazioni.
È da questa distanza tra organizzazione dichiarata e funzionamento reale che dovrebbe iniziare una valutazione del rischio-reato. Non da un formulario, ma dai processi.
La gestione del rischio non promette un’impresa immune dagli illeciti. Costruisce un’organizzazione capace di riconoscere le esposizioni, presidiare le decisioni e reagire alle anomalie.
Nota di aggiornamento. Questo contributo descrive la disciplina vigente del D.Lgs. 231/2001. Nel 2026 il catalogo dei reati-presupposto è stato ampliato e il Governo ha approvato un disegno di legge di revisione della materia, non ancora norma vigente. Il quadro è riassunto nella sezione «Aggiornamenti 2026 e prospettive di riforma».
Che cosa disciplina il D.Lgs. 231/2001
Il decreto legislativo 8 giugno 2001, n. 231 disciplina la responsabilità amministrativa degli enti dipendente da reato. È una responsabilità distinta da quella della persona fisica, accertata, secondo il sistema delineato dal decreto, dal giudice penale nel relativo procedimento.
Non ogni reato commesso in azienda coinvolge automaticamente l’ente. Devono ricorrere i presupposti previsti dalla legge: un reato rilevante per il sistema 231, il collegamento con soggetti qualificati, l’interesse o il vantaggio dell’ente e i criteri di attribuzione applicabili. L’ente non risponde quando le persone hanno agito nell’interesse esclusivo proprio o di terzi (art. 5). [1]
Il decreto riguarda enti dotati di personalità giuridica, società e associazioni anche prive di personalità giuridica. L’articolo 1 esclude invece lo Stato, gli enti pubblici territoriali, gli altri enti pubblici non economici e gli enti che svolgono funzioni di rilievo costituzionale. L’ambito soggettivo va quindi verificato caso per caso, senza darlo per scontato.
Tre questioni da tenere separate
Responsabilità personale
La posizione di amministratori, dirigenti o dipendenti resta distinta. Il Modello 231 non attribuisce loro immunità e non sostituisce l’accertamento della responsabilità penale.
Responsabilità autonoma
Per l’articolo 8 la responsabilità dell’ente è autonoma: può sussistere anche quando l’autore non è stato identificato o non è imputabile. Richiede comunque tutti i presupposti del decreto, senza automatismi.
Idoneità e attuazione
Il modello può assumere efficacia esimente alle condizioni previste dalla legge. Approvare un documento non equivale a soddisfarle.
Perché il rischio-reato è anche un rischio operativo
L’articolo 9 prevede sanzioni pecuniarie, sanzioni interdittive, confisca e pubblicazione della sentenza. Le interdizioni, quando applicabili e nei limiti previsti, possono incidere sull’attività, su autorizzazioni e concessioni, sui contratti con la pubblica amministrazione e sull’accesso ad agevolazioni o finanziamenti.
Non si tratta di conseguenze tutte automatiche o indistintamente applicabili a ogni illecito: occorre verificare fattispecie, condizioni e disciplina pertinente. Il decreto contempla anche misure cautelari, soggette a specifici presupposti. Per il management, la valutazione deve quindi comprendere l’esposizione economica e la possibile incidenza sull’operatività. [1]
Diagramma 1 — Dal processo al controllo verificabile
La mappatura ha valore quando collega una decisione reale a un presidio, a un responsabile e a una prova del suo funzionamento.
Schema metodologico illustrativo. Non costituisce un modello standard né una valutazione di idoneità.
Il Modello 231 non è una clausola di esonero
Reati degli apicali: le condizioni dell’articolo 6
Per i reati commessi dai soggetti in posizione apicale, l’articolo 6, comma 1, prevede condizioni che vanno lette congiuntamente: a) l’organo dirigente ha adottato ed efficacemente attuato, prima del fatto, modelli idonei a prevenire reati della specie di quello verificatosi; b) il compito di vigilare è affidato a un organismo dotato di autonomi poteri di iniziativa e di controllo; c) le persone hanno commesso il reato eludendo fraudolentemente i modelli; d) non vi è stata omessa o insufficiente vigilanza da parte dell’organismo di cui alla lettera b). [1]
Per gli apicali la disciplina prevede un’inversione dell’onere probatorio: è l’ente a dover dimostrare la ricorrenza delle condizioni. Il testo normativo va poi applicato al caso concreto. Il verificarsi del reato non dimostra, da solo, che ogni controllo fosse inadeguato; allo stesso modo, la presenza di una procedura non prova che il sistema fosse idoneo ed effettivamente operante. La giurisprudenza di legittimità parla in proposito di «colpa di organizzazione», da accertare e non da presumere. [10]
Che cosa deve contenere il modello
L’articolo 6, comma 2, indica le esigenze a cui il modello risponde: individuare le attività nel cui ambito possono essere commessi reati; prevedere protocolli per la formazione e l’attuazione delle decisioni; individuare modalità di gestione delle risorse finanziarie idonee a impedire la commissione di reati; prevedere obblighi di informazione verso l’organismo di vigilanza; introdurre un sistema disciplinare per il mancato rispetto delle misure. Il comma 3 consente di adottare i modelli sulla base di codici di comportamento redatti dalle associazioni rappresentative degli enti, come le Linee guida di Confindustria: sono un riferimento utile, non un modello precompilato. [1] [11]
Reati dei sottoposti: la distinta disciplina dell’articolo 7
Per i soggetti sottoposti alla direzione o vigilanza degli apicali, l’articolo 7 collega la responsabilità dell’ente all’inosservanza degli obblighi di direzione o vigilanza che abbia reso possibile il reato. La disposizione esclude tale inosservanza quando l’ente ha adottato ed efficacemente attuato, prima del fatto, un modello idoneo. Secondo l’impostazione prevalente, in questo caso la prova della carenza organizzativa grava sull’accusa e non sull’ente: una differenza pratica rilevante rispetto all’articolo 6.
L’efficace attuazione richiede verifica periodica, eventuale modifica quando siano scoperte significative violazioni o intervengano mutamenti nell’organizzazione o nell’attività, e un sistema disciplinare idoneo. Le discipline degli articoli 6 e 7 non devono essere sovrapposte in una generica promessa di «protezione 231». [1]
Approvato oppure attuato? La differenza si vede nelle evidenze
Confronto illustrativo: seleziona il livello di osservazione. Non è una classificazione legale automatica.
La mappatura parte dal business, non dal catalogo copiato
La valutazione richiede di selezionare i reati-presupposto pertinenti rispetto ad attività, mercati, struttura e modalità operative. Il catalogo va verificato sul testo vigente, perché è stato modificato più volte e anche nel 2026: non tutti i reati societari, tributari o informatici sono indistintamente rilevanti ai fini 231.
Le famiglie possono comprendere, secondo i presupposti normativi, rapporti con la pubblica amministrazione, reati societari, sicurezza sul lavoro, ambiente, riciclaggio, criminalità informatica, specifici reati tributari e, da ultimo, le violazioni delle misure restrittive dell’Unione europea. La selezione non deve trasformarsi in una lista astratta di tutto ciò che potrebbe accadere. [1]
| Processo | Domanda di rischio | Presidio da valutare |
|---|---|---|
| Intermediari e consulenti | La prestazione è reale, coerente e verificabile? | Qualificazione del terzo, oggetto dell’incarico, congruità del compenso e verifica dell’esecuzione. |
| Acquisti e pagamenti | Chi propone, autorizza, verifica e dispone il pagamento? | Poteri coerenti, separazione dei compiti o controlli compensativi e tracciabilità delle eccezioni. |
| Contabilità e adempimenti fiscali | I dati e i documenti sottostanti sono attendibili? | Riconciliazioni, verifiche documentali, responsabilità e flussi verso le funzioni competenti. |
| Sicurezza e attività operative | Le misure previste sono applicate nel lavoro reale? | Coordinamento con il sistema di prevenzione (v. anche l’art. 30 del D.Lgs. 81/2008 [5]), risorse, formazione e gestione delle non conformità. |
| Sistemi informativi | Accessi, strumenti e operazioni sono autorizzati? | Gestione dei privilegi, controlli sugli accessi, procedure operative e registrazioni proporzionate. |
| Export, sanzioni e operazioni internazionali | Controparti, beni e flussi finanziari sono compatibili con le misure restrittive UE? | Screening delle controparti, clausole contrattuali, escalation delle operazioni a rischio e conservazione delle verifiche. |
Esempi non esaustivi: nessuna riga implica automaticamente un reato o la responsabilità dell’ente.
Gap analysis: quali controlli mancano e quali non funzionano?
La gap analysis confronta gli scenari rilevanti con l’organizzazione esistente. Non basta chiedere «avete una procedura?». Occorre capire se la procedura copra il rischio, sia conosciuta, sia praticabile e lasci evidenza del controllo.
Una scheda utile dovrebbe collegare processo, scenario, controllo esistente, carenza, azione correttiva, responsabile, termine e modalità di verifica. La priorità dipende dall’esposizione concreta e dalla qualità dei presidi, non soltanto dalla facilità di scrivere una nuova policy.
La distinzione decisiva è tra rischio inerente, prima dei presidi, e rischio residuo, dopo la valutazione dei controlli. Queste categorie aiutano il lavoro organizzativo: non costituiscono una formula legislativa né un certificato di accettabilità del rischio-reato.
Organismo di Vigilanza: controllo del modello, non gestione dell’impresa
L’articolo 6 attribuisce a un organismo dell’ente, dotato di autonomi poteri di iniziativa e controllo, il compito di vigilare sul funzionamento e sull’osservanza dei modelli e di curarne l’aggiornamento. [1]
Il decreto prevede soluzioni specifiche per le realtà più piccole. Negli enti di piccole dimensioni i compiti dell’organismo possono essere svolti direttamente dall’organo dirigente (art. 6, comma 4); nelle società di capitali le relative funzioni possono essere affidate al collegio sindacale, al consiglio di sorveglianza o al comitato per il controllo sulla gestione (comma 4-bis). Sono opzioni da valutare con attenzione ai profili di autonomia, indipendenza e possibili conflitti. [1]
La gestione dei processi e l’adozione delle decisioni organizzative restano agli organi e alle funzioni competenti. L’OdV non sostituisce gli amministratori e non diventa il responsabile operativo universale di ogni controllo.
Una verifica seria considera accesso alle informazioni, risorse, competenze, possibili conflitti, programma di attività, flussi informativi ed esiti delle verifiche. Nomina e verbali standardizzati non esauriscono la questione.
Whistleblowing: un canale da integrare, non una casella da aprire
L’articolo 6, comma 2-bis, richiama i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare secondo la disciplina del D.Lgs. 24/2023. Ambito soggettivo, violazioni segnalabili e tutele devono essere verificati in concreto. [2]
Rilevano anche le conseguenze dell’adozione del modello: secondo la definizione dei soggetti del settore privato del D.Lgs. 24/2023 (art. 2), rientrano nell’ambito di applicazione anche gli enti che hanno adottato modelli 231, pure con meno di cinquanta lavoratori. La scelta di dotarsi di un modello comporta dunque l’attivazione di un canale interno conforme, da verificare alla luce della situazione specifica dell’ente. [2]
Le Linee guida ANAC sui canali interni, approvate con delibera n. 478 del 26 novembre 2025 e comunicate in Gazzetta Ufficiale n. 300 del 29 dicembre 2025, costituiscono un riferimento per organizzazione e gestione del sistema. [3] Il rapporto tra gestore delle segnalazioni e OdV è una scelta organizzativa da ponderare caso per caso: i due ruoli non vanno sovrapposti per inerzia né separati senza coordinamento. Riservatezza e protezione dei dati devono accompagnare i flussi informativi.
Assetti adeguati e Modello 231: collegamento, non equivalenza
L’articolo 2086, secondo comma, del codice civile impone all’imprenditore che operi in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche in funzione della rilevazione tempestiva della crisi e della perdita della continuità aziendale. [4]
Il Modello 231 può dialogare con questo sistema, ma non coincide con esso e non lo sostituisce. Neppure una certificazione di qualità, un sistema anticorruzione o un organigramma esauriscono automaticamente i requisiti della prevenzione 231.
Per imprese con attività estere, il coordinamento deve inoltre considerare società coinvolte, poteri, intermediari e discipline locali. L’articolo 4 del decreto contempla specifiche condizioni per i reati commessi all’estero: una policy di gruppo non dimostra da sola l’adeguatezza di ogni singola organizzazione. [1]
Diagramma 2 — Il ciclo dell’effettiva attuazione
Il modello deve accompagnare l’impresa mentre cambia: nuovi mercati, acquisizioni, servizi, persone, tecnologie e novità normative possono modificare i processi sensibili.
Mappare attività, scenari, poteri e presidi pertinenti alla realtà aziendale.
Assegnare responsabilità, formare le persone e applicare protocolli praticabili.
Esaminare campioni, flussi, anomalie e prove dell’esecuzione dei controlli.
Rimediare alle carenze e aggiornare modello, procedure e responsabilità.
Quando il documento arriva dopo il fatto
Un modello adottato dopo il reato non soddisfa retroattivamente il requisito preventivo degli articoli 6 e 7. Le iniziative successive possono però assumere rilievo nei diversi meccanismi previsti dal decreto.
L’articolo 12 prevede una riduzione della sanzione pecuniaria quando, prima dell’apertura del dibattimento di primo grado, ricorrono le condizioni indicate, tra cui l’adozione e l’attuazione di un modello idoneo a prevenire reati della specie di quello verificatosi. L’articolo 17, ferme le sanzioni pecuniarie, disciplina la non applicazione delle interdittive quando ricorrono congiuntamente, entro lo stesso termine, riparazione delle conseguenze del reato, eliminazione delle carenze organizzative attraverso modelli idonei e messa a disposizione del profitto ai fini della confisca. Non basta, quindi, approvare tardivamente un documento. [1]
Aggiornamenti 2026 e prospettive di riforma
Nuovi reati-presupposto
Secondo le prime analisi professionali, tra le novità più rilevanti del 2026 figurano: il D.Lgs. 30 dicembre 2025, n. 211, in vigore dal 24 gennaio 2026, che ha introdotto l’art. 25-octies.2 sulla violazione delle misure restrittive dell’Unione europea [6]; il D.Lgs. n. 81/2026, pubblicato in Gazzetta Ufficiale il 18 maggio 2026, in tema di reati ambientali e conseguenze per gli enti [7]; la legge 21 aprile 2026, n. 75, in vigore dal 29 maggio 2026, che ha esteso il catalogo ai reati agroalimentari [8]. Ogni novità va letta nel testo ufficiale e collegata alle attività concretamente svolte dall’ente, con revisione della mappatura quando il rischio diventa pertinente.
Il disegno di legge di riforma
Il Consiglio dei ministri ha approvato il 4 agosto 2026 un disegno di legge di revisione della responsabilità degli enti. Secondo le ricostruzioni pubblicate, il progetto supererebbe la distinzione tra reati commessi da apicali e da sottoposti. [9] Si tratta di un disegno di legge, non di diritto vigente: finché non completa l’iter parlamentare e non entra in vigore, restano applicabili gli articoli 6 e 7 come descritti sopra. Per le imprese, la scelta prudente è seguire l’evoluzione del testo e, nel frattempo, rafforzare ciò che qualunque assetto futuro richiederebbe comunque: mappatura reale dei rischi, controlli applicati, evidenze, aggiornamento.
Otto domande per avviare la valutazione
Seleziona gli elementi per i quali disponi già di evidenze. Il conteggio organizza il lavoro: non misura conformità, idoneità o probabilità di esonero.
0 di 8 evidenze selezionate
Lo script non salva né trasmette le selezioni. Non inserire informazioni riservate nella pagina.
Quattro domande frequenti
Il Modello 231 è obbligatorio per tutte le imprese?
Il D.Lgs. 231/2001 non introduce un obbligo generalizzato di adozione per tutte le imprese: l’adozione è una scelta dell’ente, con le conseguenze descritte sopra. Occorre però verificare specifici regimi, requisiti settoriali, rapporti contrattuali e condizioni applicabili all’attività. La valutazione sull’opportunità del modello deve considerare il rischio concreto e non soltanto le dimensioni.
Una PMI può usare un modello più semplice?
La proporzionalità è essenziale, ma semplicità non significa eliminare i presidi necessari. Quando la separazione dei compiti è limitata, occorre valutare controlli compensativi. L’articolo 6, comma 4, consente negli enti di piccole dimensioni che i compiti dell’organismo di vigilanza siano svolti direttamente dall’organo dirigente: l’assetto va comunque esaminato senza applicare soluzioni standard.
Un modello ben scritto garantisce l’esonero?
No. Idoneità, efficace attuazione e ulteriori condizioni sono oggetto di accertamento nel caso concreto. Nessun documento, attestato o punteggio può sostituire la valutazione dell’autorità competente.
La riforma in discussione cambia ciò che devo fare oggi?
Oggi si applica la disciplina vigente. Il disegno di legge approvato dal Governo non è norma finché non completa l’iter. Non conviene però attendere: una mappatura aderente ai processi, controlli applicati ed evidenze verificabili restano utili in ogni caso, e i nuovi reati-presupposto già in vigore richiedono di aggiornare la valutazione del rischio.
Un percorso di valutazione, non la vendita di un documento
La gestione del rischio è il filo conduttore della consulenza: comprendere dove l’impresa è esposta, stabilire quali presidi siano necessari e verificare se funzionino.
Un incarico di valutazione del rischio-reato può tradursi in risultati concreti: mappa dei processi e dei rischi, gap analysis, piano delle azioni prioritarie, progettazione o revisione del Modello 231 e supporto alla sua attuazione.
La domanda iniziale non è «avete già un modello?», ma «quali decisioni espongono l’impresa e quali evidenze dimostrano che sono governate?». È su questa risposta che si costruisce un’organizzazione più consapevole.
Fonti normative e istituzionali
- Decreto legislativo 8 giugno 2001, n. 231 — testo vigente su Normattiva. In particolare: articoli 1–8 sui presupposti e criteri di responsabilità; articoli 9–20 sulle sanzioni; disposizioni sui reati-presupposto; articoli 45 e seguenti sulle misure cautelari.
- Decreto legislativo 10 marzo 2023, n. 24 — protezione delle persone che segnalano violazioni; coordinamento con l’articolo 6, comma 2-bis, del D.Lgs. 231/2001.
- ANAC — Linee guida in materia di whistleblowing sui canali interni di segnalazione — delibera n. 478 del 26 novembre 2025 (comunicato in G.U. n. 300 del 29 dicembre 2025). Indicazioni dell’Autorità, da distinguere dalle fonti legislative.
- Codice civile, articolo 2086, secondo comma — assetti organizzativi, amministrativi e contabili adeguati.
- Decreto legislativo 9 aprile 2008, n. 81, articolo 30 — modelli di organizzazione e gestione nell’ambito della salute e sicurezza sul lavoro.
- Decreto legislativo 30 dicembre 2025, n. 211 — nuovo art. 25-octies.2 del D.Lgs. 231/2001 sulle misure restrittive dell’Unione europea; in vigore dal 24 gennaio 2026. Consultare il testo ufficiale in Gazzetta Ufficiale o su Normattiva.
- LavoriPubblici.it — commento al D.Lgs. n. 81/2026 su reati ambientali e responsabilità degli enti (fonte secondaria).
- Legge 21 aprile 2026, n. 75 — disposizioni sanzionatorie a tutela dei prodotti agroalimentari; pubblicata in G.U. n. 110 del 14 maggio 2026, in vigore dal 29 maggio 2026. Consultare il testo ufficiale.
- Diritto Bancario — «Responsabilità 231: il Governo approva lo schema di riforma» — notizia del 5 agosto 2026 sul disegno di legge approvato dal Consiglio dei ministri (fonte secondaria).
- Corte di cassazione, Sezioni Unite penali, 24 aprile 2014, n. 38343 (c.d. «Thyssenkrupp») — criteri di imputazione all’ente e colpa di organizzazione.
- Confindustria, Linee guida per la costruzione dei modelli di organizzazione, gestione e controllo ex D.Lgs. 231/2001 (ultimo aggiornamento: verificare l’edizione in vigore).
Le fonti 7 e 9 sono articoli di testate giornalistiche (fonti secondarie): per ogni uso operativo occorre verificare i testi pubblicati in Gazzetta Ufficiale e lo stato dell’iter parlamentare del disegno di legge.
Avvertenza per il lettore
Il contributo ha finalità informative generali e non costituisce parere legale, attestazione di idoneità di un Modello 231 o certificazione di conformità. Esempi, schemi e checklist hanno funzione illustrativa e non accertano reati, responsabilità o adeguatezza di specifici controlli.
La valutazione richiede l’esame di attività, organizzazione, persone, poteri, documenti, mercati e disciplina vigente. L’adozione di un modello non garantisce l’assenza di illeciti né l’esclusione della responsabilità dell’ente o delle persone fisiche.
Il catalogo dei reati-presupposto e le disposizioni applicabili devono essere verificati al momento dell’incarico. Progetti e proposte di riforma, compreso il disegno di legge approvato dal Governo nell’agosto 2026, non devono essere trattati come norme vigenti.
// Commenti