Nel lessico della compliance italiana, il D.Lgs. 231/2001 è passato da disciplina specialistica a infrastruttura essenziale della governance d’impresa. Non è più un tema confinato alle grandi società quotate o ai settori regolati: riguarda ormai qualunque organizzazione che voglia presidiare il rischio penale, prevenire crisi reputazionali e dimostrare di aver costruito un sistema credibile di controllo interno.
La stagione della mera “adozione cartolare” del Modello 231 è finita. La giurisprudenza e la dottrina più avvertita convergono su un dato: non conta soltanto che il Modello esista, conta che sia aggiornato, effettivo, incorporato nei processi aziendali e sorvegliato da un Organismo di Vigilanza realmente autonomo e funzionante. Su questo sfondo si innesta uno dei temi più delicati degli ultimi anni: l’OdV è un controllore dell’architettura dei presidi o anche un garante capace di impedire il reato?
Il cuore della responsabilità 231 non è il reato in sé, ma il modo in cui l’ente è organizzato. Il legislatore non punisce l’impresa perché un suo dipendente o dirigente ha commesso un illecito, ma perché quell’illecito è stato reso possibile – o non è stato impedito – da un assetto organizzativo inadeguato.
Questo passaggio è fondamentale. La responsabilità dell’ente si costruisce su un doppio livello: da un lato il reato presupposto, dall’altro la cosiddetta colpa di organizzazione.
In questo contesto, il Modello 231 assume una funzione decisiva. Ma solo a una condizione: che sia reale.
Il Modello 231: da documento statico a infrastruttura operativa
Flussi informativi: il punto debole della compliance
Le pronunce più significative mostrano uno schema ricorrente. L’ente aveva adottato un modello, spesso anche articolato. Ma mancavano elementi essenziali: protocolli specifici, flussi informativi strutturati, un sistema disciplinare efficace, un codice etico integrato nei processi.
In alcuni casi, le criticità emergono solo a posteriori, quando un consulente esterno o l’autorità giudiziaria evidenziano lacune che erano rimaste invisibili – o ignorate – per anni. Il risultato è sempre lo stesso: il modello, pur esistente, non viene considerato idoneo a prevenire il reato.
Questo dimostra un punto decisivo: l’idoneità del modello non si valuta ex ante in astratto, ma ex post alla luce di ciò che è accaduto. E se il sistema non ha intercettato il rischio, difficilmente sarà considerato adeguato.
Se c’è un elemento che distingue un modello efficace da uno inefficace, è la qualità dei flussi informativi.
Molte organizzazioni prevedono obblighi di comunicazione verso l’OdV, ma li formulano in modo generico. Il risultato è che le informazioni arrivano tardi, incomplete o non arrivano affatto.
Un sistema realmente funzionante, invece, definisce con precisione:
quali eventi devono essere comunicati;
chi è responsabile della comunicazione;
entro quali tempi;
con quali contenuti minimi;
con quale tracciabilità.
I flussi informativi sono il “sangue” del modello: senza di essi, l’Organismo di Vigilanza non può svolgere la propria funzione. E senza una vigilanza effettiva, l’intero sistema perde credibilità.
Organismo di Vigilanza: controllore o garante?
È proprio sul ruolo dell’OdV che si concentra oggi il dibattito più delicato.
Da un lato, è chiaro che si tratta di un organo essenziale: vigila sul funzionamento del modello, ne verifica l’osservanza, ne promuove l’aggiornamento. Senza OdV, il sistema 231 non regge.
Dall’altro lato, però, si pone una questione complessa: fino a che punto i membri dell’OdV possono essere chiamati a rispondere penalmente per ciò che non hanno impedito?
L’orientamento prevalente è prudente. L’OdV non gestisce l’impresa, non prende decisioni operative, non ha il controllo diretto delle attività a rischio. La sua funzione è diversa: controlla il modello, non l’evento.
Per questo motivo, difficilmente può essere considerato titolare di una posizione di garanzia analoga a quella degli amministratori o dei sindaci, i quali hanno poteri diretti di intervento e obblighi specifici di impedimento.
Tuttavia, la questione non è chiusa. In dottrina taluni autori hanno ipotizzato, che in situazioni particolari – ad esempio quando l’OdV dispone di informazioni chiare e di strumenti concreti di intervento – possa configurarsi una responsabilità per omissione.
Il punto decisivo, ancora una volta, è concreto: bisogna, infatti, chiedersi se l’OdV aveva davvero il potere di incidere sull’evento? Se la risposta è negativa, la responsabilità è difficilmente sostenibile. Se invece esistono poteri effettivi e una consapevole inerzia, il discorso cambia.
Amministratori e sindaci sono titolari di veri e propri obblighi di garanzia: devono vigilare, intervenire, reagire a segnali di allarme. Se restano inerti, possono rispondere penalmente per omesso impedimento del reato.
L’OdV, invece, opera su un piano diverso. Non è un gestore, ma un controllore del sistema. Assimilarlo automaticamente agli amministratori significherebbe attribuirgli poteri che, nella maggior parte dei casi, non possiede.
Questa distinzione è fondamentale per evitare derive interpretative che trasformerebbero l’OdV in un garante universale, snaturandone la funzione.
CONCLUSIONE
Il D.Lgs. 231/2001 ha introdotto una rivoluzione silenziosa: ha spostato il diritto penale dentro l’organizzazione aziendale. Non si limita a punire i comportamenti, ma giudica le strutture.
In questo scenario, il Modello 231 e l’Organismo di Vigilanza non sono più adempimenti, ma strumenti di governo. E come tutti gli strumenti di governo, funzionano solo se vengono utilizzati.
La vera domanda, quindi, non è se l’impresa abbia un modello.
La domanda è: quel modello incide davvero sulle decisioni?
Se la risposta è sì, la compliance diventa un vantaggio competitivo.
Se la risposta è no, resta solo un rischio mascherato da protezione.
Non basta adottare un modello. Non basta nominare un OdV. Non basta scrivere procedure.Serve un sistema che funzioni davvero.
Un sistema in cui: le regole siano applicate;
i controlli siano effettivi;
le informazioni circolino;
le criticità emergano;
le decisioni vengano corrette.
FONTI
Pompeo Polito – I presupposti della responsabilità amministrativa dell’Ente (artt. 4, 5 e 8).
Ciro Santoriello – Dalla Cassazione una chiara indicazione: del Modello Organizzativo più che il contenuto interessa l’effettiva applicazione.
Raffaele Guariniello – Responsabilità amministrativa delle imprese in materia di sicurezza sul lavoro.
Marco Martorana – Analisi pratica della documentazione 231 e Casi giurisprudenziali.
Pierluigi Perri – Il sistema informativo aziendale e i reati informatici nel D.Lgs. 231/01.
Micaela Stefania Negro – L’organismo di vigilanza (artt. 6 e 7).
Massimiliano Ricordini – La responsabilità degli Organi di Amministrazione e di Controllo.
Enrico Napoletano – Omesso impedimento del reato e illecito amministrativo dell’ente: quale responsabilità per l’Organismo di Vigilanza in caso di omesso o insufficiente controllo?
Tribunale Milano, Sez. II, sent. 7 aprile 2021, n. 10748.
Materiale didattico MASTER IN RESPONSABILITÀ AMMINISTRATIVA D.LGS. 231.