Sul Modello 231 circolano due convinzioni opposte, entrambe non corrette. La prima vuole che si tratti di un obbligo di legge per le imprese che superano una certa dimensione, un adempimento formale in più da assolvere. La seconda, speculare, lo vuole come uno strumento riservato ai grandi gruppi quotati, superfluo per una piccola impresa a conduzione familiare. Nessuna delle due coglie nel segno. Il decreto legislativo 231 del 2001 non impone ad alcun ente, cioè a nessuna società o impresa privata, di adottare il modello: la sua adozione è facoltativa. Quello stesso modello è però l’unico strumento idoneo a esonerare l’impresa dalla responsabilità penale di un suo esponente o di un suo dipendente, il quale commette un reato nell’interesse della società.
L’impresa come autonomo centro di responsabilità
Il decreto 231 non punisce soltanto la persona fisica autrice del reato, ma chiama a rispondere anche l’impresa stessa, come soggetto distinto ed autonomo. L’articolo 5 stabilisce che la società risponde dei reati commessi nel suo interesse o a suo vantaggio da chi la dirige, i soggetti apicali, o da chi opera sotto la loro direzione, i sottoposti. Si tratta di una responsabilità qualificata come amministrativa, ma di natura sostanzialmente penale: viene accertata da Tribunale penale nello stesso processo a carico della persona fisica, e per la società si traduce in sanzioni che incidono direttamente sul patrimonio e sull’operatività della società medesima.
È in questo quadro che il modello organizzativo assume rilievo. Gli articoli 6 e 7 lo configurano come causa di esonero: se, prima della commissione del reato, l’impresa aveva adottato e attuato un modello idoneo a prevenire illeciti della specie di quello verificatosi, affidandone la vigilanza a un organismo dotato di poteri effettivi, e l’autore ha agito eludendo fraudolentemente quel sistema, l’impresa non risponde. Tale specifica causa di esonero viene definita esimente, ovvero una condizione che esclude la responsabilità della società. In assenza del modello, quella via di esonero semplicemente non esiste e l’impresa affronta il procedimento priva di qualsiasi difesa preventiva.
La misura delle sanzioni spiega perché la posta sia tanto alta. Le sanzioni pecuniarie si calcolano per quote, da un minimo di cento a un massimo di mille, con un valore della singola quota compreso tra 258 e 1.549 euro. Il profilo più insidioso è però quello delle sanzioni interdittive: l’interdizione dall’esercizio dell’attività, la sospensione o la revoca di autorizzazioni e licenze, il divieto di contrattare con la Pubblica Amministrazione, l’esclusione da finanziamenti e contributi, il divieto di pubblicizzare beni e servizi. La loro durata va da tre mesi a due anni, e nei casi più gravi si estende oltre. Tale condanna fa sì che la società si riduca ad un mero soggetto giuridico privo di capacità di agire, così che la società stessa perderebbe ogni potenzialità produttiva.
Perché la dimensione dell’impresa non riduce, ma semmai accentua, il rischio
La responsabilità prevista dal decreto prescinde dal fatturato: opera allo stesso modo per la holding e per la società a responsabilità limitata con dodici dipendenti. Le due imprese, tuttavia, non assorbono il medesimo urto. Per un gruppo strutturato un’interdittiva di sei mesi è un contraccolpo che può essere agevolmente sanato; per una piccola impresa che vive di un’unica commessa pubblica o di una sola autorizzazione, può equivalere alla cessazione dell’attività.
Il catalogo dei reati che fanno sorgere la responsabilità, del resto, non riguarda ipotesi rare o puramente teoriche. Investe la quotidianità di qualunque azienda: la sicurezza sul lavoro in cantiere o in reparto, la gestione dei rifiuti, la fatturazione e i reati tributari, i reati informatici, la corruzione anche tra privati, le molestie sul lavoro. Ed è un elenco in costante espansione: alla fine del 2025 il decreto legislativo 211 ha introdotto i reati in materia di violazione delle misure restrittive europee, con sanzioni pecuniarie fino al 5 per cento del fatturato globale, inasprendo al contempo i reati ambientali; la legge 132 del 2025 sull’intelligenza artificiale ha a sua volta rafforzato il legame tra l’impiego dell’IA e il modello organizzativo. Ogni ampliamento del catalogo estende l’area di rischio anche alle imprese di minori dimensioni.
La attività di redazione del modello nonché l’Organo di Vigilanza che ha il compito di vigilare sul corretto operato della società appaiono, anche per le PMI, una voce di costo importante. Ma non è così. Per le imprese di piccole dimensioni l’articolo 6, comma 4, consente che i compiti dell’Organismo Di Vigilanza siano svolti direttamente dall’organo dirigente, e il modello può essere proporzionato al rischio effettivo dell’attività, senza assumere le dimensioni di un trattato. Una condizione, però, vale per tutti, grandi e piccole società: il modello deve essere concretamente attuato, non semplicemente adottato. Un modello approvato e poi relegato in un cassetto, il cosiddetto modello di carta, non esonera alcuna impresa, come la giurisprudenza ribadisce con costanza.
Le mosse per un modello idoneo ed efficace
Un modello utile non si acquista preconfezionato: si costruisce sull’impresa reale e secondo una sequenza precisa. Si è soliti dire che il modello è un vestito di alta sartorialità per la società.
- La prima mossa è la mappatura dei rischi-reato. Si parte dalle attività concrete dell’azienda per individuare quali fattispecie del catalogo siano in essa realmente ipotizzabili: chi opera con appalti pubblici presenta un’esposizione alla corruzione che un laboratorio artigiano non conosce, chi gestisce un reparto produttivo affronta il tema della sicurezza sul lavoro, chi tratta dati è esposto ai reati informatici. In difetto di questa analisi preliminare, il modello risulta inadeguato perché non calibrato sull’attività concreta dell’impresa.
- La seconda mossa consiste nel redigere i protocolli su quella mappatura: le procedure che presidiano le aree a rischio, il codice etico, il sistema disciplinare che rende cogenti le regole, i flussi informativi verso l’organismo di vigilanza.
- La terza è la nomina dell’organismo di vigilanza e la sua dotazione di reale autonomia. Per la piccola impresa la legge ammette l’organo dirigente, ma quando l’esposizione è rilevante è preferibile una soluzione che garantisca indipendenza: un controllante chiamato a vigilare su sé stesso offre garanzie limitate, anche agli occhi del giudice.
- La quarta mossa, la più importante forse, è la più trascurata: l’attuazione e l’aggiornamento. Formazione del personale, verifiche periodiche, revisione del modello quando muta l’attività o quando interviene il legislatore, come è appena accaduto con il decreto 211 del 2025. Il momento opportuno per provvedere è anticipato: prima di partecipare a una gara, prima di un’espansione, prima che la Procura iscriva una notizia di reato. Un modello costruito sotto la pressione di un’indagine già avviata nasce tardivo e, in giudizio, pesa molto meno.
Quando conviene valutare l’adozione del modello
Se l’impresa opera con la Pubblica Amministrazione, agisce in settori a esposizione concreta sul fronte della sicurezza, dell’ambiente o del fisco, oppure partecipa a filiere che richiedono il modello quale requisito di accesso, la domanda non è se il modello 231 sia utile, ma se convenga affrontarlo prima o dopo l’insorgere di un problema. Una valutazione preliminare del profilo di rischio, condotta a mente fredda, chiarisce in poche settimane se e in quale misura il modello sia necessario. Lo Studio Legale VDS, attraverso il dipartimento dedicato alla responsabilità da reato degli enti e in raccordo con l’area di Prevenzione del Contenzioso, può accompagnare l’analisi del rischio specifico e la costruzione di un modello su misura.
