#Finsubito news – cos’è, quando serve e come si costruisce

Di cosa si tratta

Fino al 2001, in Italia, una società non poteva essere punita per un reato: rispondevano solo le persone fisiche che lo avevano commesso. Il decreto legislativo 231 del 2001 ha cambiato questo principio. Da allora, quando un amministratore, un dirigente o un dipendente commette uno dei reati elencati dal decreto nell’interesse o a vantaggio della società, accanto al processo alla persona si apre un procedimento contro l’ente, che risponde con il proprio patrimonio e, nei casi più gravi, con la propria capacità di lavorare.

La legge la chiama responsabilità «amministrativa», ma nella sostanza è molto vicina a una responsabilità penale: la accerta il giudice penale, nello stesso processo, con le stesse garanzie e con sanzioni che possono essere pesantissime.

Il decreto prevede anche una via d’uscita: la società non risponde se dimostra di aver adottato ed efficacemente attuato, prima del fatto, un modello di organizzazione, gestione e controllo idoneo a prevenire reati di quel tipo, e di aver affidato a un organismo di vigilanza il compito di controllarne il funzionamento. È il cosiddetto Modello 231.

Il modello non è obbligatorio per legge, salvo alcuni casi particolari. Ma per una media impresa che lavora con grandi clienti, partecipa a gare, gestisce cantieri o stabilimenti, o semplicemente ha molte persone che prendono decisioni ogni giorno, è diventato uno strumento di gestione ordinaria. In questo articolo spiego come funziona la responsabilità della società, quali reati contano davvero per un’impresa, come si costruisce un modello che regga in un processo e quali sono gli errori più frequenti. Lungo il testo trovate due fac-simile in PDF: la mappa dei rischi 231 a semaforo e le sette tappe per costruire il modello.

Chi riguarda

Il decreto si applica a quasi tutti gli enti: società di capitali e di persone, cooperative, consorzi, associazioni e fondazioni, enti pubblici economici. Non conta la dimensione. Una S.r.l. con trenta dipendenti risponde esattamente come una grande S.p.A.

Nella pratica, il tema diventa urgente per alcune categorie di imprese:

• aziende manifatturiere, edili e logistiche, dove il rischio di infortuni sul lavoro è concreto e l’omicidio colposo o le lesioni gravi per violazione delle norme di sicurezza sono reati presupposto;
• fornitori di grandi gruppi, che sempre più spesso chiedono ai propri fornitori di avere un modello o almeno di aderire al loro codice etico come condizione per lavorare;
• imprese che lavorano con la pubblica amministrazione, per gare, appalti, concessioni, contributi e finanziamenti pubblici;
• società con volumi fiscali importanti, perché dal 2019 i principali reati tributari sono entrati nel catalogo del decreto;
• imprese che trattano rifiuti, emissioni, scarichi, esposte ai reati ambientali;
• società che stanno crescendo per acquisizioni o preparando l’ingresso di investitori: un fondo o un compratore industriale guarda con attenzione al sistema di controllo, e l’assenza di un modello pesa nella due diligence.

La responsabilità riguarda i reati commessi da due categorie di persone: chi ha funzioni di rappresentanza, amministrazione o direzione (gli apicali, come amministratori e direttori generali) e chi è sottoposto alla loro direzione o vigilanza (dipendenti e, in molti casi, collaboratori esterni). Le conseguenze sul piano della prova sono diverse, come vediamo subito.

Come funziona la responsabilità della società

Perché la società risponda servono tre elementi: un reato presupposto compreso nel catalogo del decreto, commesso da una persona legata all’ente, nell’interesse o a vantaggio della società. Se la persona ha agito esclusivamente nel proprio interesse, la società non risponde.

Il concetto di vantaggio è più ampio di quanto si pensi. Nei reati sulla sicurezza sul lavoro, per esempio, la giurisprudenza ritiene che il vantaggio possa consistere anche nel risparmio di spesa: non aver comprato un dispositivo di protezione, non aver fatto un corso di formazione, aver accelerato i tempi di produzione a scapito delle cautele. Un infortunio grave in un reparto in cui si è «risparmiato» sulla sicurezza è il caso più frequente in cui una società si trova coinvolta in un procedimento 231.

Il ruolo di chi ha commesso il reato cambia la posizione della società.

• Se il reato è commesso da un apicale, secondo l’articolo 6 del decreto è la società a dover dimostrare di avere adottato ed efficacemente attuato un modello idoneo, di avere un organismo di vigilanza autonomo e che il reato è stato commesso eludendo fraudolentemente il modello. È un’inversione dell’onere della prova: senza modello, la difesa è quasi impossibile.
• Se il reato è commesso da un sottoposto, secondo l’articolo 7 la società risponde se il reato è stato reso possibile dall’inosservanza degli obblighi di direzione o vigilanza. Anche qui, l’adozione e l’attuazione efficace di un modello esclude questa inosservanza.

La responsabilità della società è autonoma: esiste anche se l’autore del reato non è stato identificato o non è imputabile. E sopravvive alle operazioni straordinarie: in caso di fusione o scissione, passa alla società che ne risulta. È uno dei motivi per cui, nelle acquisizioni, la due diligence verifica sempre i procedimenti 231 pendenti e il sistema di controllo della società target.

I reati che contano davvero per un’impresa

Il catalogo dei reati presupposto è lungo e cresce quasi ogni anno: nel solo primo semestre del 2026 sono stati aggiunti reati legati alla violazione delle misure restrittive dell’Unione europea, nuove figure di reati agroalimentari e nuovi reati ambientali. Ma per una media impresa italiana le aree di rischio principali sono quasi sempre le stesse.

• Salute e sicurezza sul lavoro: omicidio colposo e lesioni gravi o gravissime commessi con violazione delle norme antinfortunistiche. È l’area più frequente nella pratica.
• Reati tributari: dichiarazione fraudolenta mediante fatture per operazioni inesistenti o altri artifici, emissione di fatture false, occultamento o distruzione di documenti contabili, sottrazione fraudolenta al pagamento delle imposte, e, oltre certe soglie e nei casi di frodi IVA transfrontaliere, dichiarazione infedele, omessa dichiarazione e indebita compensazione. Sono disciplinati dall’articolo 25-quinquiesdecies.
• Rapporti con la pubblica amministrazione: corruzione, induzione indebita, truffa ai danni dello Stato, malversazione e indebita percezione di contributi e finanziamenti pubblici.
• Reati societari: false comunicazioni sociali, impedito controllo, operazioni in pregiudizio dei creditori, corruzione fra privati.
• Ricettazione, riciclaggio e autoriciclaggio: quest’ultimo è spesso collegato ai reati tributari, perché il reimpiego del risparmio d’imposta illecito può integrarlo.
• Reati ambientali: gestione illecita di rifiuti, scarichi non autorizzati, inquinamento.
• Reati informatici e violazioni del diritto d’autore: accessi abusivi, danneggiamento di sistemi, uso di software senza licenza.
• Impiego di lavoratori stranieri irregolari e intermediazione illecita e sfruttamento del lavoro.

La prima cosa da fare non è leggere tutto il catalogo, ma capire quali di questi reati possono essere commessi nella vostra azienda, in quali processi e da chi. È il cuore della mappatura dei rischi, di cui trovate uno schema nella mappa a semaforo.

Le sanzioni per la società

Le sanzioni previste dal decreto sono di quattro tipi, e possono cumularsi.

Sanzione pecuniaria. Si applica sempre e si calcola per quote: da cento a mille quote, ciascuna di valore compreso fra circa 258 e 1.549 euro, determinato in base alle condizioni economiche e patrimoniali della società. Nei casi più gravi si superano 1,5 milioni di euro.

Sanzioni interdittive. Si applicano per i reati per cui sono espressamente previste e quando ricorrono certe condizioni, come un profitto di rilevante entità o la reiterazione. Sono le più temibili per un’impresa: interdizione dall’esercizio dell’attività, sospensione o revoca di autorizzazioni e licenze, divieto di contrattare con la pubblica amministrazione, esclusione da agevolazioni, finanziamenti, contributi e sussidi, divieto di pubblicizzare beni e servizi. Possono essere applicate anche in via cautelare, durante le indagini.

Confisca del prezzo o del profitto del reato, anche per equivalente: se il profitto non si trova, si confiscano altri beni della società per lo stesso valore.

Pubblicazione della sentenza, con un danno reputazionale che per molte aziende è il più grave di tutti.

Va ricordato che la società può ottenere una riduzione delle sanzioni anche dopo il fatto, se prima dell’apertura del dibattimento risarcisce il danno, elimina le conseguenze del reato e adotta un modello idoneo. È una strada utile, ma molto più costosa della prevenzione.

Che cosa c’è dentro un Modello 231

Un modello 231 non è un documento, è un sistema. Il documento che lo descrive ne è solo la parte visibile. Gli elementi che lo compongono sono, in sintesi, questi.

• Analisi dei rischi: la mappatura dei processi aziendali e, per ciascuno, dei reati che vi possono essere commessi, con una valutazione di probabilità e gravità.
• Protocolli di controllo: le regole che riducono il rischio in ciascun processo sensibile. Chi può firmare un contratto e fino a quale importo, come si selezionano i fornitori, come si autorizzano i pagamenti, come si gestiscono i rapporti con i funzionari pubblici, chi verifica le fatture passive, come si gestiscono rimborsi spese e omaggi.
• Codice etico: i principi di comportamento che la società chiede a dipendenti, amministratori e collaboratori.
• Sistema disciplinare: le sanzioni per chi viola il modello. Senza conseguenze, le regole non sono credibili.
• Organismo di vigilanza: il soggetto con autonomi poteri di iniziativa e controllo che verifica il funzionamento del modello e ne propone l’aggiornamento.
• Flussi informativi verso l’organismo di vigilanza: chi deve comunicare che cosa, e quando.
• Canali di segnalazione: le società dotate di modello 231 devono prevedere canali interni per le segnalazioni di illeciti protetti dalla disciplina sul whistleblowing, indipendentemente dal numero di dipendenti.
• Formazione: le persone devono conoscere le regole che le riguardano, con attività diverse per ruoli diversi.

Il punto decisivo è che tutto questo deve corrispondere all’azienda reale. Un protocollo che prevede una doppia firma sui pagamenti, in un’azienda dove in realtà paga sempre la stessa persona, non protegge nessuno: dimostra soltanto che il modello è rimasto sulla carta.

Come si costruisce: il metodo in sette tappe

Costruire un modello che regga in un processo richiede un metodo. Quello che seguiamo, riassunto nel fac-simile le sette tappe del modello, è questo.

1. Conoscere l’azienda. Organigramma, deleghe e procure, processi principali, rapporti con la pubblica amministrazione, struttura dei fornitori, storia di eventuali incidenti, ispezioni e contestazioni. Si parte dai documenti e dai colloqui con chi lavora.

2. Mappare i rischi. Per ogni processo si individuano i reati possibili, le persone coinvolte, i controlli già esistenti. Il risultato è una mappa a semaforo: verde dove i controlli bastano, giallo dove vanno rafforzati, rosso dove mancano.

3. Analizzare i divari. Si confronta quello che c’è con quello che servirebbe. Spesso molti controlli esistono già, ma non sono scritti o non sono tracciati.

4. Scrivere i protocolli. Si redige il modello: una parte generale, che descrive il sistema, e parti speciali per ciascuna area di rischio. Regole chiare, proporzionate, applicabili. Meglio dieci regole rispettate che cento ignorate.

5. Nominare l’organismo di vigilanza. Monocratico o collegiale, interno o esterno, con requisiti di autonomia, indipendenza, professionalità e continuità d’azione. Nelle società più piccole può svolgere questo compito l’organo dirigente; nelle società di capitali può svolgerlo il collegio sindacale.

6. Adottare, formare, comunicare. Il modello si adotta con una delibera dell’organo amministrativo, si comunica a tutti, si fa formazione differenziata per ruoli.

7. Controllare e aggiornare. L’organismo di vigilanza verifica periodicamente, riceve i flussi informativi, segnala le criticità. Il modello si aggiorna quando cambiano l’organizzazione, le attività o il catalogo dei reati.

I tempi, per una media impresa, vanno di solito da tre a sei mesi. L’impegno maggiore non è nella scrittura, ma nel lavoro con le persone che dovranno applicare le regole.

Il legame con gli assetti adeguati e il controllo di gestione

Il modello 231 non vive isolato. L’articolo 2086 del codice civile chiede a chi fa impresa in forma societaria di istituire assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa. Molti dei presidi di un buon modello 231 coincidono con quelli di un assetto adeguato: deleghe chiare, separazione dei compiti, controlli sui pagamenti, tracciabilità delle decisioni, flussi informativi verso l’organo amministrativo.

Per questo nel nostro lavoro non trattiamo il modello 231 come un adempimento separato, ma come una parte dell’organizzazione della società. Le stesse regole che prevengono una frode fiscale aiutano a controllare i margini; gli stessi flussi informativi che servono all’organismo di vigilanza servono al consiglio di amministrazione per decidere in modo informato. È anche un tema di responsabilità personale degli amministratori, che rispondono verso la società se non hanno istituito assetti adeguati: ne abbiamo parlato nella guida sulla responsabilità degli amministratori.

Un’area in cui l’integrazione è particolarmente utile è quella fiscale. Un modello che presidia i reati tributari richiede controlli sulle fatture passive e sui fornitori, sulla corrispondenza fra contratti, ordini e pagamenti, sulla corretta conservazione delle scritture, sulle compensazioni dei crediti d’imposta. Sono gli stessi controlli che rendono più solida la contabilità e più facile un’eventuale verifica fiscale.

Un esempio: un infortunio e due aziende

Ecco un caso costruito per l’esempio. Due S.r.l. metalmeccaniche simili, entrambe con circa ottanta dipendenti, subiscono lo stesso evento: un operaio si infortuna gravemente su una pressa a cui era stato rimosso un dispositivo di sicurezza per velocizzare la produzione. In entrambe le aziende il capo reparto viene indagato per lesioni colpose gravi, e la procura contesta alla società l’illecito 231, sostenendo che il vantaggio consiste nel risparmio di tempo e di costi.

La prima azienda non ha un modello. Ha un documento di valutazione dei rischi formalmente corretto, ma nessun sistema che verifichi che le regole vengano rispettate. Non può dimostrare di aver fatto nulla per prevenire il reato. Rischia una sanzione pecuniaria rilevante e, nei casi più gravi, misure interdittive che bloccherebbero i rapporti con alcuni clienti pubblici.

La seconda azienda ha un modello adottato tre anni prima. Il modello prevede verifiche periodiche sui dispositivi di sicurezza con registro firmato, un divieto scritto di rimuoverli con sanzione disciplinare, formazione specifica per i capi reparto, e flussi informativi all’organismo di vigilanza su ogni anomalia. L’organismo ha verbalizzato i controlli svolti nell’ultimo anno, compreso uno su quella pressa. La società può dimostrare che il capo reparto ha violato regole note, controllate e sanzionate.

L’esito di un processo non si può mai garantire, ma la posizione delle due aziende è completamente diversa. E c’è un altro aspetto: nella seconda azienda, le probabilità che l’infortunio accadesse erano molto più basse, perché i controlli funzionavano. Il modello serve prima di tutto a questo.

Quanto costa e cosa si ottiene

Il costo di un modello 231 dipende da tre fattori: la complessità dell’azienda (numero di sedi, processi, rapporti con la pubblica amministrazione), il numero di aree di rischio rilevanti e il livello di organizzazione già esistente. Un’azienda con procedure scritte e deleghe chiare richiede meno lavoro di una in cui tutto passa dalla testa del fondatore. A questo si aggiunge il costo annuo dell’organismo di vigilanza e degli aggiornamenti.

Quello che si ottiene, oltre alla possibilità di difendersi in un procedimento, è spesso sottovalutato:

• una organizzazione più chiara, con deleghe e responsabilità scritte;
• un requisito commerciale sempre più richiesto da grandi clienti e committenti pubblici;
• un elemento che può migliorare il rating di legalità e la valutazione in gara;
• un argomento solido nei rapporti con banche e investitori, che guardano al sistema di controllo;
• una maggiore tutela degli amministratori, che possono dimostrare di aver organizzato la società in modo adeguato.

Come sempre, il preventivo si formula dopo aver visto l’azienda e non cambia in corsa. Potete richiedere un preventivo online.

Gli errori che vediamo più spesso

Il modello copiato. Un modello scaricato da internet o preso da un’altra azienda, con il nome cambiato. È il caso più frequente e il più inutile: un giudice lo riconosce subito, perché i protocolli non corrispondono ai processi reali.

L’organismo di vigilanza di facciata. Un organismo nominato e mai riunito, senza budget, senza verbali, senza flussi informativi. Oppure composto da persone che dipendono da chi dovrebbero controllare. Senza un organismo che funziona, il modello non è efficacemente attuato.

Nessun aggiornamento. Un modello adottato dieci anni fa e mai rivisto non copre i reati entrati nel catalogo dopo, primi fra tutti quelli tributari, né i cambiamenti dell’organizzazione.

Nessuna formazione. Se le persone non conoscono le regole, le regole non esistono. La formazione va fatta, documentata e ripetuta.

Un sistema disciplinare mai applicato. Regole senza conseguenze non sono credibili. Le violazioni vanno gestite, anche quando sono piccole.

Dimenticare i reati tributari. Molte aziende hanno modelli costruiti sulla sicurezza e sui rapporti con la pubblica amministrazione, ma nessun presidio sulle fatture, sui fornitori e sulle compensazioni. Oggi è una lacuna grave.

Trattarlo come un adempimento legale separato dall’azienda. Il modello funziona quando è integrato nell’organizzazione, nel controllo di gestione, nelle decisioni del consiglio. Quando è un fascicolo nell’armadio, non protegge nessuno.

Da dove cominciare

Il primo passo è una valutazione preliminare: capire quali reati possono riguardare la vostra azienda, quali controlli esistono già e quanto lavoro serve per arrivare a un modello efficace. Spesso il risultato è meno impegnativo di quanto si teme, perché molte regole ci sono già e vanno solo scritte e tracciate.

Per il primo incontro è utile avere a portata di mano:

• la visura aggiornata e l’organigramma, anche approssimativo;
• l’elenco delle deleghe e procure in essere;
• il documento di valutazione dei rischi per la sicurezza;
• l’elenco dei principali clienti pubblici o delle gare a cui partecipate;
• eventuali ispezioni, verbali o contestazioni degli ultimi anni;
• l’eventuale modello già adottato, se c’è.

Se volete partire da una fotografia generale della società, potete usare il check-up azienda online. Quando siete pronti, potete prenotare un appuntamento in studio, in via Abbondio Sangiorgio 18 a Milano, o in videochiamata, oppure chiamare lo studio allo 02 80897709. Lavoriamo con imprese di tutta Italia, e coordiniamo quando serve gli specialisti di sicurezza sul lavoro e ambiente, con un solo referente per la società.