Modello organizzativo 231 e consulenza di direzione

Il D.Lgs. 8 giugno 2001, n. 231 ha introdotto la responsabilità dell'ente per il reato commesso da una persona fisica: non al posto di chi lo ha commesso, ma accanto a lui. In quei processi penali sul banco non c'è soltanto una persona: c'è anche la società, con un proprio difensore e un proprio rischio di condanna. La legge la chiama responsabilità amministrativa, ma l'accertamento avviene davanti al giudice penale e fra le conseguenze possibili ce ne sono alcune che fermano l'attività.

Questa pagina riguarda il modello organizzativo 231: che cosa facciamo, che cosa deve contenere per reggere e che cosa si rischia senza. Sulla consulenza di direzione e il temporary management stanno invece nella pagina sugli incarichi professionali, insieme a RSPP esterno e DPO: l'incarico è una persona che entra in azienda per un tempo definito, il modello 231 è un documento con un effetto giuridico, e le due cose si affidano separatamente.

Che cosa facciamo, in concreto

Emmess costruisce il modello e poi lo tiene in vita. Una riga per servizio, con quello che resta in azienda a fine lavoro.

• Check-up 231 e analisi dei rischi-reato. Ricognizione di organigramma, deleghe, procure, procedure e sistemi di gestione già certificati; mappatura dei processi sensibili e gap analysis fra i controlli esistenti e quelli richiesti. Consegniamo il quadro delle scoperture con la loro gravità.
• Redazione o revisione del modello. Parte generale, codice etico, regolamento dell'organismo di vigilanza, fino alla delibera dell'organo amministrativo e alla comunicazione al personale. Dove un modello esiste già, lo revisioniamo invece di rifarlo.
• Parti speciali sui reati ambientali e di sicurezza. Le scriviamo sui documenti reali: autorizzazioni vigenti, registri e formulari, valutazione dei rischi, sorveglianza sanitaria, gestione delle emergenze. Sono le parti in cui i modelli assemblati da mani diverse si contraddicono.
• Sistema disciplinare e flussi informativi. Le sanzioni per il mancato rispetto delle misure del modello e le regole di segnalazione verso l'organismo: chi manda che cosa, con quale periodicità e in quale forma.
• Canale di whistleblowing e procedura. Canale di segnalazione interna, gestione delle segnalazioni, divieto di ritorsione e relative sanzioni, coordinati con il sistema disciplinare del modello.
• Formazione differenziata per ruolo. Con registri ed esiti conservati, perché sono la prova dell'attuazione. I corsi li eroga Emmess Learning Hub: si parte dalla pagina formazione.
• Aggiornamento del modello. Verifiche periodiche e revisione quando cambia l'organizzazione, quando emergono violazioni significative o quando il legislatore aggiunge reati presupposto.
• Incarico di componente dell'organismo di vigilanza. Lo ricopriamo, tenuto separato dalla consulenza che ha redatto il modello: chi vigila non può controllare il proprio lavoro. Perimetro, poteri e durata sono quelli degli incarichi professionali: RSPP esterno, DPO e temporary management.

Le competenze su anticorruzione, ambiente e sicurezza sono interne, e questo tiene insieme le parti speciali. Dove il modello si appoggia a un sistema di gestione i riferimenti sono la ISO 45001 e la ISO 37001: nessuna ha effetto esimente automatico, entrambe forniscono impianto e prove.

Quando il 231 non è obbligatorio ma diventa necessario

La domanda che ci arriva non è quasi mai «devo farlo?», ma «perché me lo chiedono?». Le occasioni ricorrenti sono quattro.

Gare e capitolati. Una stazione appaltante non può imporre il modello come requisito di partecipazione, ma può valorizzarlo nei criteri di aggiudicazione, e i committenti privati lo mettono nei capitolati. Sul rovescio, l'interdittiva del divieto di contrattare con la pubblica amministrazione chiude i contratti pubblici per tutta la sua durata.

Rating di legalità. Lo attribuisce l'Autorità garante della concorrenza e del mercato ai sensi dell'articolo 5-ter del D.L. 1/2012, alle imprese con sede operativa in Italia, fatturato di almeno due milioni di euro nell'esercizio precedente e iscrizione al registro delle imprese da almeno due anni. Il punteggio base è di una stella e cresce al ricorrere dei requisiti ulteriori.

Gruppi e catene di fornitura. Una capogruppo che ha il modello lo estende alle controllate, e un fornitore dentro una filiera regolata riceve il questionario di compliance insieme all'ordine.

Operazioni straordinarie. L'articolo 29 è netto: «Nel caso di fusione, anche per incorporazione, l'ente che ne risulta risponde dei reati dei quali erano responsabili gli enti partecipanti alla fusione». Chi incorpora eredita anche questa esposizione, ed è la ragione per cui il 231 entra nelle liste di verifica della due diligence insieme ad ambiente e sicurezza.

Quando l'ente risponde: interesse o vantaggio

L'articolo 5, comma 1 fissa la regola: l'ente risponde dei reati commessi «nel suo interesse o a suo vantaggio». L'interesse guarda alla direzione della condotta; il vantaggio al risultato che l'ente ne ha tratto, anche se nessuno lo aveva cercato. Alla lettera a) stanno gli apicali, compreso chi esercita «anche di fatto» gestione e controllo; alla lettera b) i sottoposti alla loro direzione o vigilanza. Il comma 2 mette il limite: l'ente non risponde se hanno agito «nell'interesse esclusivo proprio o di terzi».

La distinzione cambia chi deve provare che cosa. Per il reato dell'apicale l'articolo 6 chiede all'ente di provare di avere adottato ed efficacemente attuato il modello, di avere affidato la vigilanza a un organismo con autonomi poteri e che l'autore lo ha eluso fraudolentemente. Per il sottoposto l'articolo 7 chiede che sia dimostrata l'inosservanza degli obblighi di direzione o vigilanza, che però è esclusa se prima del reato l'ente aveva adottato ed efficacemente attuato un modello idoneo. Nel caso dei vertici l'onere è dell'azienda: un modello scritto e mai vissuto non lo solleva.

Che cosa deve contenere il modello

L'articolo 6, comma 2 elenca i requisiti. Il modello deve:

1. individuare le attività nel cui ambito possono essere commessi reati, cioè mappare i processi sensibili;
2. prevedere protocolli specifici per programmare la formazione e l'attuazione delle decisioni dell'ente;
3. individuare modalità di gestione delle risorse finanziarie idonee a impedire la commissione dei reati;
4. prevedere obblighi di informazione verso l'organismo che vigila sul modello;
5. introdurre un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello.

Il comma 2-bis, introdotto con il recepimento della direttiva sul whistleblowing, aggiunge i canali di segnalazione interna, il divieto di ritorsione e le relative sanzioni. L'articolo 7, comma 4 dice come si misura l'efficace attuazione: verifica periodica del modello, con modifica quando si scoprono violazioni significative o cambia l'organizzazione, e un sistema disciplinare che funzioni. Un modello fermo all'anno di adozione è per definizione non attuato.

L'organismo di vigilanza

L'articolo 6, comma 1, lettera b) affida la vigilanza sul modello a un organismo dell'ente dotato di autonomi poteri di iniziativa e di controllo. La composizione non è fissata dal decreto; i requisiti guardati sempre sono tre: autonomia dagli organi gestori, professionalità adeguata alle materie coperte, continuità di azione. Negli enti di piccole dimensioni il comma 4 consente che i compiti siano svolti dall'organo dirigente e, nelle società di capitali, il comma 4-bis dal collegio sindacale. Sono facoltà: la scelta regge se l'organo ha tempo e competenze.

Il punto su cui i modelli cedono non è la nomina: sono i flussi informativi. Se all'organismo nessuno segnala infortuni, verbali, non conformità e contestazioni disciplinari, la vigilanza non ha materia su cui esercitarsi.

Le sanzioni pecuniarie si contano per quote

L'articolo 10 costruisce la sanzione in due passaggi: prima il numero di quote, da cento a mille, secondo la gravità del fatto; poi l'importo della singola quota, fra cinquecentomila e tre milioni di lire, secondo le condizioni economiche e patrimoniali dell'ente. La conversione al cambio di legge dà le cifre della tabella.

Le interdittive sono il rischio vero

Una sanzione pecuniaria si paga. Un'interdittiva cambia che cosa l'azienda può fare. L'articolo 9, comma 2 ne elenca cinque, riportate in colonna: la più grave ferma l'attività, le altre colpiscono il titolo che consente di operare, i contratti pubblici, le agevolazioni e la comunicazione commerciale.

Non si applicano sempre. L'articolo 13, comma 1 le riserva ai casi di profitto di rilevante entità con reato di un apicale o di un sottoposto agevolato da gravi carenze organizzative, e ai casi di reiterazione. La durata ordinaria la fissa il comma 2: da tre mesi a due anni. Per la corruzione l'articolo 25, comma 5 prevede da quattro a sette anni se il reato è di un apicale e da due a quattro anni se di un sottoposto, riportate alle durate ordinarie dal comma 5-bis quando l'ente si è adoperato per evitare conseguenze ulteriori e ha adottato modelli idonei.

L'articolo 17 le esclude se, prima dell'apertura del dibattimento di primo grado, l'ente ha risarcito il danno ed eliminato le conseguenze del reato, ha eliminato le carenze organizzative adottando modelli idonei e ha messo il profitto a disposizione per la confisca. Le tre condizioni valgono insieme, e la seconda è costruire sotto processo il modello che non c'era.

I reati presupposto che riguardano una PMI industriale

Il catalogo dei reati presupposto copre ormai decine di fattispecie. In un'azienda manifatturiera di media dimensione il rischio si concentra quasi sempre nelle famiglie qui sotto.

Sui reati colposi vale una precisazione: nessuno commette un infortunio «nell'interesse» dell'azienda, e il criterio dell'articolo 5 si legge qui sul risparmio, cioè la spesa in prevenzione non fatta. È il motivo per cui l'infortunio grave apre spesso un fascicolo contro la società accanto a quello contro il datore di lavoro.

Sicurezza: l'articolo 30 e la presunzione di conformità

L'articolo 30 del D.Lgs. 81/2008 descrive il modello che ha efficacia esimente rispetto alla responsabilità dell'ente: deve assicurare un sistema aziendale per l'adempimento degli obblighi di salute e sicurezza, dagli standard tecnici alla sorveglianza sanitaria, dalla gestione delle emergenze alla documentazione. Il comma 5 aggiunge la parte che pesa: i modelli definiti conformemente alle linee guida UNI-INAIL del 28 settembre 2001 o alla norma UNI EN ISO 45001:2023+A1:2024 si presumono conformi ai requisiti dell'articolo 30 per le parti corrispondenti.

Il richiamo alla ISO 45001 lo ha introdotto l'articolo 10, comma 1, lettera a), del D.L. 31 ottobre 2025, n. 159, convertito dalla legge 29 dicembre 2025, n. 198, in sostituzione del superato OHSAS 18001:2007. Chi ha o vuole la certificazione ISO 45001 ha già in casa la parte più costosa della sezione sicurezza del modello. La presunzione però resta relativa e vale solo «per le parti corrispondenti». Il perimetro degli obblighi da cui si parte è quello della pagina salute e sicurezza sul lavoro.

Ambiente: l'articolo 25-undecies

L'articolo 25-undecies ha portato nel decreto i delitti ambientali del codice penale e le violazioni del D.Lgs. 152/2006 su rifiuti, scarichi ed emissioni. Le sanzioni pecuniarie sono fra le più alte previste e le interdittive arrivano fino a un anno, con l'interdizione definitiva quando l'ente o una sua unità sono stabilmente utilizzati per agevolare quei reati.

La parte speciale ambientale non si scrive quindi in astratto, ma sulle autorizzazioni vigenti, sui registri e sui formulari, cioè sugli stessi documenti degli adempimenti ambientali. Se quelli non tornano, il modello non può presumere che tornino.

Whistleblowing: il D.Lgs. 24/2023 entra nel modello

Il D.Lgs. 10 marzo 2023, n. 24, che recepisce la direttiva (UE) 2019/1937, ha spostato il canale di segnalazione dalle buone pratiche agli obblighi sanzionati. L'articolo 2, comma 1, lettera q) indica i soggetti privati obbligati con tre criteri alternativi: la media di almeno cinquanta lavoratori subordinati nell'ultimo anno; il rientrare negli atti dell'Unione elencati nell'allegato; e l'adozione di modelli ai sensi del D.Lgs. 231/2001, a prescindere dal numero di dipendenti.

Il collegamento è a doppio senso: l'articolo 6, comma 2-bis del 231 impone che il modello preveda i canali e il divieto di ritorsione, e l'articolo 21, comma 2 del D.Lgs. 24/2023 chiede che il sistema disciplinare del modello sanzioni i responsabili degli illeciti accertati. Le sanzioni le irroga l'ANAC: da 10.000 a 50.000 euro per ritorsioni, ostacolo alla segnalazione, violazione della riservatezza e canali non istituiti o non conformi.

Consulenza di direzione e temporary management

Qui cambia argomento. Il modello 231 è un documento con un effetto giuridico; il temporary management è una persona che entra in azienda e ricopre un ruolo per un tempo definito. Le due cose si incontrano spesso, perché chi scopre una scopertura scopre insieme di non avere nessuno che la gestisca. Emmess eroga temporary management in ambito QHSE e di direzione generale: quando ha senso, come si struttura un incarico e come se ne esce sono spiegati nella pagina sugli incarichi professionali richiamata fra i servizi, la stessa da cui passa l'incarico di componente dell'organismo di vigilanza.

Quanto costa

Non pubblichiamo listini. Il costo dipende da quanti processi sensibili emergono dal risk assessment, da quante sedi sono coinvolte e da quanto materiale utilizzabile esiste già. Un'azienda con la ISO 45001 certificata e le pratiche ambientali in ordine parte molto più avanti. Il ragionamento con cui costruiamo un preventivo è in quanto costa certificarsi; per un numero conviene richiedere un preventivo. La prima analisi non ha alcun costo.

Domande frequenti

Il modello 231 è obbligatorio?
No, nessuna norma impone di adottarlo. L'articolo 6 lo indica come la condizione per andare esenti dalla responsabilità dell'ente, purché attuato prima del fatto e con un organismo di vigilanza dotato di autonomi poteri. Diventa necessario quando lo pretende un capitolato, un socio o un finanziatore.

Se abbiamo la ISO 45001 il modello 231 è già fatto?
Solo per la parte sicurezza. L'articolo 30, comma 5, del D.Lgs. 81/2008, come modificato dal D.L. 159/2025, presume conformi i modelli definiti secondo le linee guida UNI-INAIL del 2001 o la UNI EN ISO 45001:2023+A1:2024, ma solo per le parti corrispondenti.

Con venti dipendenti dobbiamo fare il whistleblowing?
Se adottate un modello 231, sì: l'articolo 2, comma 1, lettera q), del D.Lgs. 24/2023 include fra i soggetti del settore privato chi adotta modelli ai sensi del 231 anche sotto i cinquanta lavoratori. Senza modello, e fuori dagli atti dell'Unione, il canale non è dovuto.

Potete fare anche l'organismo di vigilanza?
Sì, come incarico distinto dalla consulenza che ha redatto il modello: chi vigila non può controllare il proprio lavoro.