Il Modello 231 (o MOG 231, Modello di organizzazione, gestione e controllo) è l'insieme di regole, procedure e controlli che un ente adotta per prevenire la commissione di determinati reati da parte di chi opera al suo interno. È previsto dal D.Lgs. 8 giugno 2001, n. 231, che ha introdotto nell'ordinamento italiano la responsabilità degli enti per i reati commessi nel loro interesse o a loro vantaggio.
Il Modello non è un adempimento formale: è la principale difesa dell'ente nel procedimento penale. Se è idoneo ed efficacemente attuato, può escludere la responsabilità della società; se è generico o rimasto sulla carta, non serve a nulla. Questa guida spiega che cosa chiede la legge e come si arriva a un modello organizzativo 231 difendibile.
Che cos'è la responsabilità amministrativa degli enti
Il D.Lgs. 231/2001 la definisce "amministrativa", ma la responsabilità dell'ente è accertata dal giudice penale, nello stesso procedimento in cui si giudica la persona fisica che ha commesso il reato, e con le garanzie del processo penale. Per questo la dottrina parla spesso di un sistema ibrido, a metà tra illecito amministrativo e penale.
Perché l'ente risponda servono tre condizioni.
- Un reato presupposto. L'ente risponde solo per i reati espressamente richiamati dal decreto (artt. 24 e seguenti) o da altre leggi che vi rinviano. L'elenco è stato ampliato molte volte: oggi comprende, tra gli altri, reati contro la Pubblica Amministrazione, societari, tributari, informatici, ambientali, in materia di salute e sicurezza sul lavoro, riciclaggio e autoriciclaggio. L'elenco completo è nella pagina sui reati presupposto 231.
- Un autore qualificato (art. 5). Il reato deve essere commesso da un soggetto apicale, cioè chi ha funzioni di rappresentanza, amministrazione o direzione dell'ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale, o chi esercita anche di fatto la gestione e il controllo; oppure da un sottoposto, cioè una persona soggetta alla direzione o alla vigilanza di un apicale.
- L'interesse o il vantaggio dell'ente (art. 5). Il reato deve essere commesso nell'interesse dell'ente (valutazione da compiere ex ante, sulla finalità della condotta) o a suo vantaggio (beneficio verificato ex post). L'ente non risponde se l'autore ha agito nell'interesse esclusivo proprio o di terzi.
Per i reati colposi, come l'omicidio o le lesioni colpose con violazione delle norme antinfortunistiche, l'orientamento consolidato riferisce interesse e vantaggio alla condotta e non all'evento: tipicamente, il risparmio di costi o di tempi ottenuto non investendo nella sicurezza.
La responsabilità dell'ente è autonoma (art. 8): sussiste anche quando l'autore del reato non è stato identificato o non è imputabile, o quando il reato si estingue per causa diversa dall'amnistia.
A chi si applica il D.Lgs. 231/2001
L'art. 1 indica come destinatari gli enti forniti di personalità giuridica, le società e le associazioni anche prive di personalità giuridica. Rientrano quindi:
- società di capitali e di persone, comprese le società unipersonali;
- società cooperative e consorzi;
- associazioni, fondazioni ed enti del Terzo settore;
- enti pubblici economici e società a partecipazione pubblica.
Sono invece esclusi lo Stato, gli enti pubblici territoriali, gli altri enti pubblici non economici e gli enti che svolgono funzioni di rilievo costituzionale.
Non conta la dimensione: anche una piccola impresa può essere chiamata a rispondere. Quanto alle società estere che operano in Italia, l'orientamento prevalente della giurisprudenza le ritiene soggette al decreto per i reati commessi nel territorio dello Stato. L'art. 4 disciplina invece i reati commessi all'estero da enti con sede principale in Italia.
Il Modello 231 è obbligatorio?
In generale no: il D.Lgs. 231/2001 non impone a tutte le società di adottare un Modello. L'adozione è una scelta dell'ente, ma è l'unico modo per beneficiare dell'esimente prevista dagli artt. 6 e 7. Senza Modello, se un reato presupposto viene commesso nell'interesse dell'ente, la difesa ha pochissimi argomenti.
L'art. 6 riguarda i reati commessi dagli apicali: l'ente non risponde se prova di aver adottato ed efficacemente attuato, prima del fatto, un Modello idoneo; di aver affidato la vigilanza a un organismo dotato di autonomi poteri di iniziativa e controllo; che l'autore ha eluso fraudolentemente il Modello; che non vi è stata omessa o insufficiente vigilanza dell'organismo. Il testo della norma pone la prova a carico dell'ente; la giurisprudenza ha comunque chiarito che la colpa di organizzazione resta un elemento dell'illecito da accertare.
L'art. 7 riguarda i sottoposti: l'ente risponde se il reato è stato reso possibile dall'inosservanza degli obblighi di direzione o vigilanza, inosservanza che è esclusa se l'ente aveva adottato ed efficacemente attuato un Modello idoneo.
Ci sono poi contesti in cui il Modello è di fatto richiesto o comunque premiato:
- Società a controllo pubblico. Le linee guida dell'ANAC in materia di prevenzione della corruzione sollecitano queste società ad adottare il Modello 231, integrandolo con le misure previste dalla L. 190/2012.
- Rating di legalità. Nel regolamento dell'Autorità garante della concorrenza e del mercato, l'adozione di un modello organizzativo ex D.Lgs. 231/2001 è tra gli elementi che possono incrementare il punteggio.
- Appalti e filiera. Molti committenti privati chiedono ai fornitori di avere un Modello 231 o di aderire al proprio Codice Etico. Negli appalti pubblici, le misure organizzative adottate dall'operatore rilevano per dimostrarne l'affidabilità (cosiddetto self-cleaning).
- Salute e sicurezza sul lavoro. L'art. 30 del D.Lgs. 81/2008 descrive il modello di organizzazione e gestione idoneo ad avere efficacia esimente per i reati dell'art. 25-septies (omicidio colposo e lesioni colpose gravi o gravissime).
- Normative regionali e di settore. Alcune regioni richiedono il Modello per l'accreditamento di strutture sanitarie o per l'accesso a determinati finanziamenti.
Infine, gli amministratori che non valutano l'adozione di un Modello in un ente esposto a rischi rilevanti possono essere chiamati a risponderne verso la società, alla luce del dovere di predisporre assetti organizzativi adeguati (art. 2086 c.c.).
Quali requisiti deve avere un Modello 231 idoneo
L'art. 6, comma 2, indica il contenuto minimo del Modello. Deve:
- individuare le attività nel cui ambito possono essere commessi reati (la cosiddetta mappatura delle aree a rischio);
- prevedere specifici protocolli diretti a programmare la formazione e l'attuazione delle decisioni dell'ente in relazione ai reati da prevenire;
- individuare modalità di gestione delle risorse finanziarie idonee a impedire la commissione dei reati;
- prevedere obblighi di informazione nei confronti dell'organismo deputato a vigilare sul funzionamento e l'osservanza del Modello;
- introdurre un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel Modello.
Il comma 2-bis, nella formulazione introdotta dal D.Lgs. 24/2023, aggiunge che il Modello deve prevedere i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare collegato. Gli enti dotati di Modello 231 rientrano quindi nell'ambito della disciplina sul whistleblowing, anche se hanno meno di cinquanta dipendenti.
L'art. 7, comma 4, precisa che l'efficace attuazione richiede una verifica periodica del Modello, con modifiche quando emergono violazioni significative o cambiano l'organizzazione o l'attività, e un sistema disciplinare effettivamente applicato.
L'art. 6, comma 3, consente di costruire il Modello sulla base dei codici di comportamento delle associazioni di categoria comunicati al Ministero della giustizia, come le Linee guida di Confindustria. Sono un riferimento utile, ma non sostituiscono l'analisi dell'ente concreto.
Come è strutturato un modello organizzativo 231
Non esiste un indice imposto dalla legge, ma la prassi si è consolidata su un'architettura riconoscibile. Il Modello è un sistema di documenti collegati, non un unico testo.
| Documento | A cosa serve |
|---|---|
| Parte Generale | Descrive l'ente, il quadro normativo, la governance, le regole sull'OdV, la formazione e l'aggiornamento del Modello |
| Parti Speciali | Una per famiglia di reati rilevante: attività sensibili, principi di comportamento, protocolli di controllo |
| Codice Etico | Fissa i valori e le regole di condotta per amministratori, dipendenti e terzi |
| Sistema disciplinare | Individua le violazioni e le sanzioni per ciascuna categoria di destinatari, nel rispetto dei contratti collettivi |
| Mappatura e valutazione dei rischi | Documenta processi, attività sensibili, rischio inerente, controlli esistenti e rischio residuo |
| Procedure e protocolli | Traducono i principi in regole operative: chi fa cosa, con quali autorizzazioni e tracce |
| Regolamento dell'OdV | Disciplina funzionamento, riunioni, verbali e poteri dell'Organismo di Vigilanza |
| Flussi informativi | Stabiliscono quali informazioni arrivano all'OdV, da chi e con quale periodicità |
| Procedura whistleblowing | Regola il canale interno, la gestione delle segnalazioni e le tutele del segnalante |
| Delibera di adozione | Atto dell'organo amministrativo che adotta il Modello e nomina l'OdV |
La mappatura dei rischi è il documento da cui dipendono tutti gli altri: se è generica, le Parti Speciali e le procedure non possono essere specifiche.
L'Organismo di Vigilanza
L'art. 6, comma 1, lett. b), richiede che il compito di vigilare sul funzionamento e l'osservanza del Modello, e di curarne l'aggiornamento, sia affidato a un organismo dell'ente dotato di autonomi poteri di iniziativa e di controllo. È l'Organismo di Vigilanza (OdV).
Può essere monocratico o collegiale, composto da membri interni, esterni o misti. Negli enti di piccole dimensioni i suoi compiti possono essere svolti dall'organo dirigente (art. 6, comma 4); nelle società di capitali possono essere affidati al collegio sindacale (art. 6, comma 4-bis). Requisiti, composizione, flussi e responsabilità sono trattati nella guida sull'Organismo di Vigilanza 231.
Le sanzioni previste dal D.Lgs. 231/2001
L'art. 9 prevede quattro tipi di sanzioni.
- Sanzione pecuniaria. Si applica sempre e si calcola per quote (art. 10): non meno di 100 e non più di 1.000 quote, con un valore della singola quota da € 258 a € 1.549. Il giudice fissa il numero delle quote in base alla gravità del fatto, al grado di responsabilità dell'ente e all'attività svolta per attenuarne le conseguenze, e il valore della quota in base alle condizioni economiche e patrimoniali dell'ente (art. 11). Non è ammesso il pagamento in misura ridotta.
- Sanzioni interdittive. Si applicano solo per i reati per cui sono espressamente previste e alle condizioni dell'art. 13: interdizione dall'esercizio dell'attività, sospensione o revoca di autorizzazioni, licenze o concessioni, divieto di contrattare con la Pubblica Amministrazione, esclusione da agevolazioni, finanziamenti, contributi o sussidi e revoca di quelli concessi, divieto di pubblicizzare beni o servizi. Possono essere applicate anche in via cautelare durante le indagini.
- Confisca del prezzo o del profitto del reato, anche per equivalente (art. 19). L'art. 6, comma 5, prevede la confisca del profitto anche quando l'ente va esente da responsabilità.
- Pubblicazione della sentenza di condanna, che può essere disposta quando si applica una sanzione interdittiva (art. 18).
Il Modello conta anche dopo il fatto. Adottarlo e renderlo operativo prima della dichiarazione di apertura del dibattimento di primo grado riduce la sanzione pecuniaria (art. 12, comma 2). Se l'ente, entro lo stesso termine, ha anche risarcito il danno ed eliminato le conseguenze del reato e ha messo a disposizione il profitto ai fini della confisca, le sanzioni interdittive non si applicano (art. 17).
Come si redige un Modello 231: le fasi
Un Modello efficace nasce da un lavoro sull'ente, non da un modello di testo. Le fasi tipiche sono queste.
1. Analisi preliminare
Si raccolgono i documenti dell'ente: visura, statuto, organigramma, deleghe e procure, procedure esistenti, certificazioni, documento di valutazione dei rischi, contratti tipo, eventuali precedenti giudiziari o ispettivi. Si comprende il modello di business, il mercato, i rapporti con la Pubblica Amministrazione, la struttura del gruppo.
2. Mappatura dei processi
Si individuano i processi aziendali (acquisti, vendite, finanza, personale, sicurezza, ambiente, sistemi informativi, rapporti con la PA...) e, per ciascuno, le fasi, le funzioni coinvolte e le attività in cui potrebbe essere commesso un reato presupposto. Le interviste ai responsabili di funzione sono essenziali.
3. Risk assessment
Per ogni attività sensibile si valuta il rischio inerente (probabilità e impatto in assenza di controlli), si censiscono i controlli esistenti e si stima il rischio residuo. Le famiglie di reato non applicabili vanno escluse con una motivazione documentata, non semplicemente ignorate.
4. Gap analysis
Si confrontano i controlli esistenti con quelli necessari: segregazione dei compiti, poteri autorizzativi coerenti con le deleghe, tracciabilità, procedure scritte. Ne deriva un piano di interventi con priorità e responsabili.
5. Redazione
Si redigono Parte Generale, Parti Speciali, Codice Etico, sistema disciplinare, procedure, regolamento e flussi dell'OdV, procedura whistleblowing. Ogni documento deve richiamare in modo coerente gli altri e la mappatura da cui deriva.
6. Adozione
Il Modello è adottato con delibera dell'organo amministrativo (consiglio di amministrazione o amministratore unico), che nella stessa sede o in una successiva nomina l'Organismo di Vigilanza e gli assegna un budget.
7. Diffusione e formazione
Il Modello va comunicato a tutti i destinatari e pubblicato almeno nelle sue parti essenziali, tipicamente Parte Generale e Codice Etico. La formazione deve essere obbligatoria, tracciata e differenziata per ruolo: un dirigente dell'ufficio acquisti e un operaio di cantiere hanno esigenze diverse.
8. Attuazione e aggiornamento
Dall'adozione in poi l'OdV vigila, riceve i flussi informativi, svolge verifiche e propone gli aggiornamenti. Un Modello mai verificato perde rapidamente idoneità.
Quando aggiornare il MOG 231
L'art. 7, comma 4, lett. a), indica le occasioni principali. In pratica il Modello va rivisto quando:
- il legislatore introduce nuovi reati presupposto o modifica quelli esistenti, se rilevanti per l'attività dell'ente;
- cambiano l'organizzazione o l'attività: nuove linee di business, operazioni straordinarie, ingresso in nuovi mercati, nuove sedi o stabilimenti, modifiche della governance e del sistema di deleghe;
- emergono violazioni significative del Modello, procedimenti o esiti di verifiche che rivelano lacune nei controlli;
- l'OdV, nelle sue relazioni periodiche, segnala la necessità di interventi.
È buona prassi conservare lo storico delle versioni e delle delibere di aggiornamento: in un eventuale giudizio, dimostrare che il Modello è stato mantenuto vivo nel tempo è parte della prova dell'efficace attuazione.
Errori frequenti che rendono il Modello inidoneo
La giurisprudenza ha ritenuto inidonei molti Modelli formalmente completi. Gli errori ricorrenti sono questi.
- Modelli "copia-incolla". Testi presi da altre società o da schemi generici, che non descrivono l'ente reale. Il giudice valuta l'idoneità rispetto all'organizzazione concreta.
- Mappatura non specifica. Elenchi di reati senza collegamento a processi, funzioni e attività effettivamente svolte; nessuna valutazione del rischio residuo.
- Protocolli astratti. Principi generali ("occorre agire con correttezza") invece di regole verificabili su chi autorizza, chi controlla e quale traccia rimane.
- OdV non autonomo. Organismo composto da persone con ruoli operativi nelle aree a rischio, senza budget, senza accesso alle informazioni o di fatto inattivo.
- Flussi informativi assenti. Nessuna informazione arriva all'OdV, o arriva solo su richiesta.
- Formazione mancante o solo formale. Nessuna traccia di partecipazione, contenuti uguali per tutti.
- Sistema disciplinare mai applicato o non coordinato con il contratto collettivo.
- Modello mai aggiornato dopo l'introduzione di nuovi reati presupposto o dopo cambiamenti organizzativi.
Per i profili tipici di ciascun comparto, vedi la pagina sul Modello 231 per settore.
Come lo fa 231 AI
231 AI è il software che aiuta gli studi legali a redigere il Modello 231 seguendo le fasi descritte in questa guida. Un questionario guidato, con modelli per settore, raccoglie le informazioni sull'ente; i documenti caricati (visure, statuti, organigrammi, procedure, DVR) vengono letti anche se scansionati e l'intelligenza artificiale propone la precompilazione delle risposte.
Su questa base il software costruisce il registro dei rischi per processi e fasi, con valutazione inerente e residua e copertura di tutte le famiglie di reato presupposto, comprese le esclusioni motivate. Genera poi il fascicolo completo, dalla Parte Generale alle Parti Speciali, dal regolamento dell'OdV alla procedura whistleblowing e alla delibera di adozione, e ne verifica la coerenza interna.
L'AI propone, l'avvocato rivede, modifica e firma. I dati restano nell'Unione europea e non vengono usati per addestrare i modelli.
Domande frequenti
Il Modello 231 è obbligatorio per legge?
Il D.Lgs. 231/2001 non impone in generale l'adozione del Modello: è una scelta dell'ente. Tuttavia è l'unico strumento che consente di invocare l'esimente degli artt. 6 e 7 se un reato presupposto viene commesso nel suo interesse. In alcuni contesti è di fatto richiesto o premiato: società a controllo pubblico, rating di legalità, accreditamenti regionali, richieste dei committenti nella filiera.
Che differenza c'è tra Modello 231 e Codice Etico?
Il Codice Etico enuncia valori e regole di condotta generali che valgono per tutti i destinatari. Il Modello 231 è più ampio: comprende la mappatura dei rischi, le Parti Speciali con i protocolli di controllo, il sistema disciplinare, le regole sull'Organismo di Vigilanza e i flussi informativi. Il Codice Etico è una componente del Modello, ma da solo non basta a ottenere l'esimente prevista dal decreto.
Una piccola impresa deve adottare il Modello 231?
Il decreto si applica alle società indipendentemente dalle dimensioni, quindi anche una piccola impresa può rispondere di un reato presupposto. Il Modello va proporzionato alla struttura: processi più semplici, protocolli essenziali e, negli enti di piccole dimensioni, la possibilità che i compiti dell'Organismo di Vigilanza siano svolti direttamente dall'organo dirigente (art. 6, comma 4). Resta necessaria una mappatura specifica dei rischi.
Chi approva il Modello 231?
Il Modello è adottato dall'organo dirigente, come prevede l'art. 6, comma 1, lett. a): in pratica il consiglio di amministrazione o l'amministratore unico, con una delibera verbalizzata. La stessa delibera, o una successiva, nomina l'Organismo di Vigilanza e ne stabilisce budget e durata. Anche gli aggiornamenti sostanziali del Modello vanno approvati dall'organo amministrativo, normalmente su proposta o con il parere dell'OdV.
Quanto tempo serve per redigere un Modello 231?
Dipende dalla complessità dell'ente: numero di processi, sedi, rapporti con la Pubblica Amministrazione, struttura di gruppo, presenza di procedure già scritte. Le fasi che richiedono più tempo sono la raccolta delle informazioni, le interviste ai responsabili di funzione e la valutazione dei rischi. La redazione dei documenti può essere accelerata con strumenti adeguati, ma l'analisi dell'organizzazione concreta non può essere saltata.
Ogni quanto va aggiornato il Modello 231?
La legge non fissa una scadenza. L'art. 7, comma 4, richiede una verifica periodica e la modifica del Modello quando emergono violazioni significative o cambiano l'organizzazione o l'attività. A queste occasioni si aggiunge l'introduzione di nuovi reati presupposto rilevanti per l'ente. È prassi diffusa che l'Organismo di Vigilanza valuti almeno una volta l'anno, nella propria relazione, la necessità di aggiornamenti.
Il Modello 231 adottato dopo il reato serve a qualcosa?
Non esclude la responsabilità, perché l'esimente richiede un Modello adottato ed efficacemente attuato prima del fatto. Può però incidere sulle conseguenze: se l'ente adotta e rende operativo un Modello idoneo prima dell'apertura del dibattimento di primo grado, la sanzione pecuniaria è ridotta (art. 12). Se inoltre risarcisce il danno e mette a disposizione il profitto, alle condizioni dell'art. 17 le sanzioni interdittive non si applicano.
Approfondisci
Questa pagina ha finalità informative e non costituisce parere legale: l’applicazione della disciplina al singolo ente richiede la valutazione di un professionista.