Modello 231: cos’è, a cosa serve e perché è importante per le imprese
Il Modello 231 è uno strumento di organizzazione e prevenzione che consente all’impresa di individuare i propri rischi, introdurre controlli adeguati e ridurre il rischio di responsabilità ai sensi del D.Lgs. 231/2001.
Quando un amministratore, un dirigente o un dipendente commette determinati reati nell’interesse o a vantaggio della società, le conseguenze possono riguardare non soltanto la persona fisica che ha materialmente agito, ma anche l’impresa.
Il Modello di organizzazione, gestione e controllo previsto dal D.Lgs. 231/2001 serve proprio a prevenire questo rischio: analizza le attività aziendali, individua le aree più esposte e introduce procedure, responsabilità e controlli finalizzati a evitare la commissione degli illeciti.
Il Modello 231 in sintesi
Il funzionamento del sistema può essere rappresentato attraverso cinque passaggi fondamentali.
Che cos’è il D.Lgs. 231/2001
Il Decreto Legislativo 8 giugno 2001, n. 231 ha introdotto nell’ordinamento italiano un sistema di responsabilità degli enti collegato alla commissione di determinati reati.
Il principio fondamentale è che, in determinate circostanze, la commissione di un reato può produrre conseguenze non soltanto per la persona fisica che lo ha materialmente commesso, ma anche per la società o l’ente nel cui interesse o vantaggio quella persona ha agito.
L’amministratore, il dirigente, il dipendente o il collaboratore che commette il reato può risponderne personalmente.
In presenza dei presupposti previsti dal Decreto, anche l’impresa può essere chiamata a rispondere autonomamente.
La responsabilità dell’ente può sorgere soltanto per le fattispecie espressamente ricomprese nel sistema 231.
Il fatto deve essere commesso nell’interesse oppure a vantaggio dell’organizzazione.
La responsabilità prevista dal D.Lgs. 231/2001 è autonoma rispetto a quella della persona fisica. Lo stesso fatto può quindi determinare un procedimento nei confronti dell’autore materiale del reato e, contemporaneamente, un procedimento nei confronti della società.
Quando può essere responsabile anche l’impresa
Non ogni reato commesso da una persona che lavora in azienda determina automaticamente una responsabilità della società.
Devono ricorrere specifiche condizioni previste dalla legge.
- deve essere stato commesso uno dei reati rilevanti ai sensi del D.Lgs. 231/2001;
- il fatto deve essere riconducibile a un soggetto inserito nell’organizzazione dell’ente;
- il reato deve essere stato commesso nell’interesse o a vantaggio della società;
- deve potersi individuare un collegamento tra il fatto e l’organizzazione dell’impresa.
Si immagini che un dirigente corrompa un pubblico ufficiale per consentire alla società di ottenere indebitamente un’autorizzazione o un vantaggio economico.
Il dirigente potrà rispondere personalmente del reato. Ma, ricorrendo gli ulteriori presupposti previsti dalla legge, anche la società potrebbe essere chiamata a rispondere ai sensi del D.Lgs. 231/2001.
Che cos’è il Modello 231
Il nome completo è Modello di organizzazione, gestione e controllo.
Non si tratta semplicemente di un documento, ma di un sistema organizzativo costruito sulla specifica realtà dell’impresa con l’obiettivo di individuare le attività nelle quali possono essere commessi i reati rilevanti e predisporre misure adeguate a prevenirli.
Parte Generale
Descrive il sistema 231 nel suo complesso: struttura della società, principi organizzativi, Organismo di Vigilanza, sistema disciplinare, flussi informativi, formazione e aggiornamento.
Parti Speciali
Analizzano le specifiche categorie di reato rilevanti per l’impresa e individuano le attività sensibili, i controlli e i protocolli applicabili.
Un Modello 231 non è efficace semplicemente perché esiste o perché è stato approvato dal consiglio di amministrazione. Deve essere concretamente applicato, conosciuto dai destinatari, sottoposto a vigilanza e aggiornato nel tempo.
A cosa serve concretamente il Modello 231
Per un imprenditore questa è la domanda principale.
Il Modello 231 svolge innanzitutto una funzione di prevenzione, perché consente di individuare in anticipo i processi aziendali più esposti al rischio e di introdurre regole finalizzate a impedire o rendere più difficile la commissione degli illeciti.
Prevenire i reati
Identifica le aree a rischio e introduce controlli specifici prima che si verifichi un illecito.
Proteggere la società
In presenza delle condizioni previste dalla legge, un Modello idoneo ed efficacemente attuato può incidere sulla responsabilità dell’ente.
Migliorare l’organizzazione
Consente di verificare deleghe, procure, poteri decisionali, responsabilità e sistemi di controllo.
Rendere tracciabili le decisioni
Permette di ricostruire chi ha proposto, autorizzato, eseguito e controllato una determinata operazione.
Coordinare la compliance
Integra i presidi già esistenti in materia di sicurezza, ambiente, fiscalità, anticorruzione e whistleblowing.
Rafforzare la cultura aziendale
Definisce regole chiare e responsabilizza amministratori, dipendenti e collaboratori.
Il Modello 231 non garantisce che in azienda non verrà mai commesso un reato. Serve a dimostrare che l’impresa ha analizzato seriamente i propri rischi e ha organizzato la propria attività in modo da prevenirli attraverso controlli adeguati.
Il Modello 231 è obbligatorio?
In via generale, l’adozione del Modello 231 non costituisce un obbligo imposto indistintamente a tutte le società.
Il sistema è costruito principalmente come una scelta organizzativa dell’ente. Ciò non significa, tuttavia, che la decisione di non adottarlo sia priva di conseguenze.
Non è obbligatorio per tutte le imprese
Non esiste una regola generale secondo cui qualsiasi società, indipendentemente da dimensioni e attività, debba necessariamente adottare un Modello 231.
Può essere fortemente opportuno
Settore, dimensioni, rapporti con la Pubblica Amministrazione, rischi operativi e richieste di clienti o partner possono rendere l’adozione particolarmente rilevante.
Più che chiedersi soltanto “sono obbligato ad avere il Modello 231?”, l’imprenditore dovrebbe domandarsi: considerando l’attività, le dimensioni e i rischi della mia società, è ragionevole restare senza un sistema strutturato di prevenzione?
Quali reati possono determinare la responsabilità della società
La responsabilità prevista dal Decreto 231 non può derivare da qualsiasi reato.
Deve trattarsi di una delle fattispecie espressamente ricomprese nel cosiddetto catalogo dei reati presupposto.
Il catalogo è stato progressivamente ampliato e comprende oggi numerose categorie che possono interessare direttamente l’attività d’impresa.
- reati nei rapporti con la Pubblica Amministrazione;
- reati societari;
- reati tributari;
- riciclaggio e autoriciclaggio;
- reati informatici;
- omicidio colposo e lesioni gravi o gravissime con violazione delle norme sulla sicurezza sul lavoro;
- reati ambientali;
- delitti contro l’industria e il commercio;
- reati di criminalità organizzata;
- reati relativi all’impiego e allo sfruttamento dei lavoratori;
- reati doganali e altre fattispecie previste dalla normativa.
Un buon Modello 231 non consiste nel riportare indiscriminatamente l’intero catalogo dei reati. Occorre individuare quali fattispecie siano concretamente compatibili con l’attività e con i processi della specifica impresa.
Come è costruito un Modello 231
Non esiste un Modello identico per tutte le società.
Una società manifatturiera con stabilimenti, dipendenti e rapporti con enti pubblici presenta rischi diversi rispetto a uno studio di consulenza, a una società immobiliare o a un’impresa che opera nel commercio internazionale.
Analisi dell’organizzazione
Vengono esaminati governance, organigramma, deleghe, procure, attività, responsabilità e principali processi decisionali.
Individuazione delle attività sensibili
Si identificano le aree nelle quali potrebbe astrattamente verificarsi uno dei reati rilevanti.
Valutazione dei controlli esistenti
Si verifica se l’impresa dispone già di procedure adeguate oppure se esistono lacune organizzative.
Introduzione dei presidi
Si definiscono protocolli, controlli, responsabilità e flussi informativi necessari a mitigare i rischi.
La mappatura dei rischi: il risk assessment 231
Uno degli elementi centrali del sistema è il cosiddetto risk assessment 231.
La società viene analizzata per comprendere in quali attività potrebbe concretamente verificarsi una condotta rilevante ai sensi del Decreto.
Autorizzazioni e rapporti pubblici
Gare, autorizzazioni, contributi, ispezioni e verifiche possono rappresentare aree sensibili.
Processi amministrativi e contabili
Fatture, dichiarazioni fiscali, contabilità e operazioni societarie possono presentare rischi specifici.
Salute e sicurezza sul lavoro
Deleghe, manutenzione, formazione, valutazione dei rischi e procedure operative devono essere adeguatamente presidiate.
Gestione ambientale
Rifiuti, emissioni, scarichi e autorizzazioni possono determinare specifici profili di rischio 231.
Definire un processo come “sensibile” non significa sostenere che al suo interno vengano commessi reati. Significa soltanto riconoscere che, per la natura dell’attività svolta, esiste un rischio astratto che deve essere adeguatamente gestito.
I protocolli e le procedure aziendali
Dopo aver individuato i rischi, il Modello deve stabilire come prevenirli.
Le misure concrete dipendono dal processo considerato, ma alcuni principi organizzativi ricorrono frequentemente.
- chiara attribuzione delle responsabilità;
- coerenza tra deleghe, procure e poteri di spesa;
- separazione tra chi autorizza, chi esegue e chi controlla un’operazione;
- tracciabilità delle decisioni e dei controlli;
- regole per la selezione e gestione di fornitori e consulenti;
- controlli sui pagamenti e sui flussi finanziari;
- documentazione delle attività maggiormente sensibili;
- flussi informativi verso l’Organismo di Vigilanza.
Quando possibile, la stessa persona non dovrebbe controllare integralmente tutte le fasi di un’operazione. Separare autorizzazione, esecuzione e controllo riduce il rischio di comportamenti irregolari e rende più semplice individuarli.
L’Organismo di Vigilanza
Uno degli elementi caratteristici del sistema è l’Organismo di Vigilanza, spesso indicato con l’acronimo OdV.
Il suo compito è vigilare sul funzionamento e sull’osservanza del Modello e verificarne l’adeguatezza nel tempo.
Controlla
Verifica che le regole previste dal Modello vengano concretamente rispettate.
Riceve informazioni
Analizza i flussi informativi provenienti dalle funzioni aziendali e le eventuali anomalie rilevanti.
Effettua verifiche
Può approfondire specifici processi e controllare la corretta applicazione delle procedure.
Propone aggiornamenti
Segnala quando modifiche normative o organizzative rendano necessario aggiornare il sistema.
La semplice nomina dell’Organismo non è sufficiente. Deve poter operare concretamente, ricevere le informazioni necessarie, disporre di adeguati poteri di iniziativa e documentare l’attività svolta.
Modello 231 e whistleblowing
Il sistema 231 deve oggi essere coordinato anche con la disciplina delle segnalazioni interne.
Il whistleblowing permette a determinati soggetti di segnalare violazioni o comportamenti irregolari attraverso canali appositamente predisposti, nel rispetto delle garanzie di riservatezza e delle tutele previste dalla normativa.
Il sistema deve individuare con chiarezza chi riceve le segnalazioni, come vengono gestite, quali verifiche devono essere svolte, come viene tutelata la riservatezza e quali misure impediscono eventuali ritorsioni nei confronti del segnalante.
Quali sanzioni rischia l’impresa
La responsabilità ai sensi del D.Lgs. 231/2001 può produrre conseguenze particolarmente rilevanti per la società.
Sanzioni pecuniarie
Possono raggiungere importi significativi e vengono determinate attraverso il sistema delle quote previsto dal Decreto.
Sanzioni interdittive
Possono incidere direttamente sull’operatività dell’impresa, fino a impedire determinate attività o rapporti.
Confisca
Può riguardare il prezzo o il profitto del reato e, nei casi previsti, anche beni o somme di valore equivalente.
Le sanzioni interdittive
In presenza dei presupposti previsti dalla legge possono essere applicate misure particolarmente incisive.
- interdizione dall’esercizio dell’attività;
- sospensione o revoca di autorizzazioni, licenze o concessioni;
- divieto di contrattare con la Pubblica Amministrazione;
- esclusione da agevolazioni, finanziamenti, contributi o sussidi;
- revoca di benefici già concessi;
- divieto di pubblicizzare beni o servizi.
Le conseguenze del procedimento 231 non riguardano soltanto l’eventuale condanna finale. Nei casi previsti possono essere applicate anche misure cautelari interdittive e sequestri capaci di incidere immediatamente sull’attività o sul patrimonio della società.
Cosa succede se viene commesso un reato nonostante il Modello
L’esistenza di un Modello 231 non determina automaticamente l’esclusione della responsabilità.
Il giudice deve verificare concretamente se il sistema fosse idoneo a prevenire reati della stessa specie di quello verificatosi e se fosse stato effettivamente attuato.
Modello effettivo
Procedure applicate, formazione, verifiche, flussi informativi, attività dell’OdV e aggiornamenti dimostrano che il sistema è concretamente operativo.
Modello solo formale
Un documento generico, mai aggiornato o non conosciuto dall’organizzazione rischia di non svolgere alcuna reale funzione preventiva.
Il Modello adottato dopo il reato
L’adozione successiva non produce retroattivamente gli stessi effetti di un sistema già esistente e correttamente attuato prima del fatto.
Tuttavia, intervenire sulle carenze organizzative dopo l’illecito può assumere rilievo sotto il profilo sanzionatorio e dimostrare la volontà della società di eliminare le criticità emerse.
Il Modello 231 nelle piccole e medie imprese
Un errore frequente consiste nel ritenere che il Modello 231 sia uno strumento riservato alle grandi società.
Anche una PMI può essere esposta a rischi rilevanti: può avere rapporti con la Pubblica Amministrazione, utilizzare finanziamenti pubblici, gestire lavorazioni pericolose, operare in settori ambientali sensibili, intrattenere rapporti commerciali internazionali o movimentare risorse finanziarie significative.
Una piccola impresa non deve necessariamente replicare la struttura di controllo di un grande gruppo multinazionale. Il sistema deve essere proporzionato alle dimensioni, alla complessità organizzativa e ai rischi effettivamente presenti.
Quando può essere particolarmente opportuno
- quando la società ha numerosi dipendenti o collaboratori;
- quando intrattiene frequenti rapporti con la Pubblica Amministrazione;
- quando partecipa a gare o utilizza finanziamenti pubblici;
- quando svolge attività produttive con rischi ambientali o di sicurezza;
- quando opera all’estero o con filiere complesse;
- quando gestisce significativi flussi finanziari;
- quando clienti, investitori o partner richiedono standard strutturati di compliance.
Come si adotta un Modello 231
La predisposizione del sistema dovrebbe partire sempre dalla concreta realtà dell’impresa.
1. Analisi preliminare
Si esaminano attività, organigramma, governance, deleghe, procure, procedure esistenti e principali flussi decisionali.
2. Mappatura dei rischi
Si individuano le attività nelle quali potrebbero essere commessi i reati presupposto rilevanti.
3. Gap analysis
I rischi vengono confrontati con i controlli già esistenti per individuare eventuali carenze.
4. Predisposizione dei protocolli
Si definiscono o rafforzano le regole necessarie a presidiare le attività sensibili.
5. Redazione e adozione
Il sistema viene formalizzato nel Modello e adottato dall’organo competente.
6. Vigilanza e formazione
Il Modello viene attuato attraverso attività formative, controlli, flussi informativi e vigilanza.
Un Modello 231 deve essere aggiornato
Il lavoro non termina con l’approvazione del documento.
L’impresa cambia nel tempo e, insieme ad essa, cambiano anche i rischi.
Un aggiornamento può rendersi necessario, per esempio, in seguito a:
- modifiche normative rilevanti;
- introduzione di nuovi reati presupposto;
- fusioni, acquisizioni o riorganizzazioni;
- apertura di nuove linee di business;
- ingresso in nuovi mercati o Paesi;
- modifica di deleghe, procure o responsabilità;
- introduzione di nuovi processi aziendali;
- emersione di violazioni o criticità significative.
Un sistema costruito correttamente anni prima può diventare inadeguato se non viene adattato ai cambiamenti organizzativi, operativi o normativi intervenuti successivamente.
Il documento non basta
Uno dei principali errori consiste nel considerare concluso il progetto quando il consiglio di amministrazione approva il Modello.
Quello è soltanto l’inizio.
Le regole devono essere seguite nello svolgimento quotidiano dell’attività.
Dipendenti e responsabili devono conoscere i presidi applicabili alle proprie attività.
Il rispetto del sistema deve essere periodicamente verificato.
Il Modello deve essere adeguato alle trasformazioni della società e della normativa.
Il ruolo dell’avvocato nella predisposizione del Modello 231
L’assistenza legale nella compliance 231 non consiste soltanto nella redazione di un documento.
Occorre comprendere il funzionamento concreto dell’impresa e tradurlo nella prospettiva della responsabilità prevista dal Decreto.
L’attività può comprendere:
- analisi dei reati presupposto rilevanti per l’impresa;
- mappatura dei processi e delle attività sensibili;
- valutazione dei controlli già esistenti;
- predisposizione dei protocolli preventivi;
- revisione di deleghe, procure e poteri autorizzativi;
- predisposizione del sistema disciplinare;
- coordinamento con il sistema whistleblowing;
- assistenza nei rapporti con l’Organismo di Vigilanza;
- aggiornamento periodico del Modello.
Particolare attenzione deve essere prestata alla coerenza tra ciò che il Modello descrive e ciò che avviene concretamente nell’organizzazione. Un sistema efficace non può essere costruito attraverso formule standard indipendenti dall’attività effettivamente svolta.
Domande frequenti sul Modello 231
Il Modello 231 è obbligatorio per tutte le società?
No. In via generale il D.Lgs. 231/2001 non impone indistintamente a tutte le imprese di adottare un Modello. La sua opportunità deve però essere valutata considerando attività, dimensioni, organizzazione, settore e rischi concretamente presenti.
A cosa serve il Modello 231?
Serve a individuare e prevenire i rischi di commissione dei reati rilevanti ai sensi del D.Lgs. 231/2001, organizzando processi, responsabilità e controlli e contribuendo a proteggere la società dalle conseguenze derivanti da eventuali illeciti commessi nel suo interesse o vantaggio.
Avere il Modello 231 significa che la società non può essere condannata?
No. La semplice esistenza del documento non esclude automaticamente la responsabilità. Occorre verificare se il Modello fosse concretamente idoneo, correttamente attuato e sottoposto a un’effettiva attività di vigilanza.
Una piccola impresa può avere bisogno di un Modello 231?
Sì. La dimensione non è l’unico criterio. Anche una PMI può essere esposta a rischi tributari, ambientali, relativi alla sicurezza sul lavoro o ai rapporti con la Pubblica Amministrazione.
Basta utilizzare un facsimile di Modello 231?
No. Il Modello deve essere costruito sulla concreta organizzazione dell’impresa. Un documento standardizzato che non rifletta processi, responsabilità e rischi effettivi difficilmente può svolgere correttamente la propria funzione preventiva.
Chi controlla che il Modello venga rispettato?
Il sistema prevede un Organismo di Vigilanza dotato di autonomi poteri di iniziativa e controllo, incaricato di vigilare sul funzionamento e sull’osservanza del Modello.
Ogni quanto deve essere aggiornato il Modello 231?
Non esiste un intervallo valido per tutte le società. Il sistema deve essere riesaminato quando intervengono modifiche normative, organizzative o operative capaci di incidere sui rischi o sull’adeguatezza dei controlli.
Il Modello 231 serve anche se l’impresa non ha mai avuto problemi penali?
Sì. La funzione del Modello è principalmente preventiva. Il momento più efficace per strutturare i controlli è prima che si verifichi un illecito, non dopo l’avvio di un procedimento.
Conclusioni
Il Modello 231 è innanzitutto uno strumento di organizzazione e prevenzione.
Serve a individuare i rischi connessi all’attività dell’impresa, strutturare i processi più sensibili, definire responsabilità e controlli e creare un sistema capace di prevenire e rilevare comportamenti irregolari.
La sua importanza deriva dal fatto che, in determinate circostanze, un reato commesso da una persona inserita nell’organizzazione può produrre conseguenze non soltanto per il suo autore, ma direttamente per la società.
Per questo motivo il Modello non deve essere considerato una semplice formalità documentale. Deve essere costruito sulla specifica realtà dell’impresa, concretamente applicato e aggiornato nel tempo.
