Nel lessico della compliance italiana, il D.Lgs. 231/2001 è passato da disciplina specialistica a infrastruttura essenziale della governance d’impresa. Non è più un tema confinato alle grandi società quotate o ai settori regolati: riguarda ormai qualunque organizzazione che voglia presidiare il rischio penale, prevenire crisi reputazionali e dimostrare di aver costruito un sistema credibile di controllo interno.
La stagione della mera “adozione cartolare” del Modello 231 è finita. La giurisprudenza e la dottrina più avvertita convergono su un dato: non conta soltanto che il Modello esista, conta che sia aggiornato, effettivo, incorporato nei processi aziendali e sorvegliato da un Organismo di Vigilanza realmente autonomo e funzionante. Su questo sfondo si innesta uno dei temi più delicati degli ultimi anni: l’OdV è un controllore dell’architettura dei presidi o anche un garante capace di impedire il reato?
Il Modello 231: da documento statico a infrastruttura operativa
Il cuore della responsabilità 231 non è il reato in sé, ma il modo in cui l’ente è organizzato. Il legislatore non punisce l’impresa perché un suo dipendente o dirigente ha commesso un illecito, ma perché quell’illecito è stato reso possibile – o non è stato impedito – da un assetto organizzativo inadeguato.
Questo passaggio è fondamentale. La responsabilità dell’ente si costruisce su un doppio livello: da un lato il reato presupposto, dall’altro la cosiddetta colpa di organizzazione.
In questo contesto, il Modello 231 assume una funzione decisiva. Ma solo a una condizione: che sia reale.
Flussi informativi: il punto debole della compliance
Le pronunce più significative mostrano uno schema ricorrente. L’ente aveva adottato un modello, spesso anche articolato. Ma mancavano elementi essenziali: protocolli specifici, flussi informativi strutturati, un sistema disciplinare efficace, un codice etico integrato nei processi.
In alcuni casi, le criticità emergono solo a posteriori, quando un consulente esterno o l’autorità giudiziaria evidenziano lacune che erano rimaste invisibili – o ignorate – per anni. Il risultato è sempre lo stesso: il modello, pur esistente, non viene considerato idoneo a prevenire il reato.
Questo dimostra un punto decisivo: l’idoneità del modello non si valuta ex ante in astratto, ma ex post alla luce di ciò che è accaduto. E se il sistema non ha intercettato il rischio, difficilmente sarà considerato adeguato.
Se c’è un elemento che distingue un modello efficace da uno inefficace, è la qualità dei flussi informativi.
Molte organizzazioni prevedono obblighi di comunicazione verso l’OdV, ma li formulano in modo generico. Il risultato è che le informazioni arrivano tardi, incomplete o non arrivano affatto.
Un sistema realmente funzionante, invece, definisce con precisione:
quali eventi devono essere comunicati;
chi è responsabile della comunicazione;
entro quali tempi;
con quali contenuti minimi;
con quale tracciabilità.
I flussi informativi sono il “sangue” del modello: senza di essi, l’Organismo di Vigilanza non può svolgere la propria funzione. E senza una vigilanza effettiva, l’intero sistema perde credibilità.
Organismo di Vigilanza: controllore o garante?
È proprio sul ruolo dell’OdV che si concentra oggi il dibattito più delicato.
Da un lato, è chiaro che si tratta di un organo essenziale: vigila sul funzionamento del modello, ne verifica l’osservanza, ne promuove l’aggiornamento. Senza OdV, il sistema 231 non regge.
Dall’altro lato, però, si pone una questione complessa: fino a che punto i membri dell’OdV possono essere chiamati a rispondere penalmente per ciò che non hanno impedito?
L’orientamento prevalente è prudente. L’OdV non gestisce l’impresa, non prende decisioni operative, non ha il controllo diretto delle attività a rischio. La sua funzione è diversa: controlla il modello, non l’evento.
Per questo motivo, difficilmente può essere considerato titolare di una posizione di garanzia analoga a quella degli amministratori o dei sindaci, i quali hanno poteri diretti di intervento e obblighi specifici di impedimento.
Tuttavia, la questione non è chiusa. In dottrina taluni autori hanno ipotizzato, che in situazioni particolari – ad esempio quando l’OdV dispone di informazioni chiare e di strumenti concreti di intervento – possa configurarsi una responsabilità per omissione.
Il punto decisivo, ancora una volta, è concreto: bisogna, infatti, chiedersi se l’OdV aveva davvero il potere di incidere sull’evento? Se la risposta è negativa, la responsabilità è difficilmente sostenibile. Se invece esistono poteri effettivi e una consapevole inerzia, il discorso cambia.
Amministratori e sindaci sono titolari di veri e propri obblighi di garanzia: devono vigilare, intervenire, reagire a segnali di allarme. Se restano inerti, possono rispondere penalmente per omesso impedimento del reato.
L’OdV, invece, opera su un piano diverso. Non è un gestore, ma un controllore del sistema. Assimilarlo automaticamente agli amministratori significherebbe attribuirgli poteri che, nella maggior parte dei casi, non possiede.
Questa distinzione è fondamentale per evitare derive interpretative che trasformerebbero l’OdV in un garante universale, snaturandone la funzione.
Conclusione
Il D.Lgs. 231/2001 ha introdotto una rivoluzione silenziosa: ha spostato il diritto penale dentro l’organizzazione aziendale. Non si limita a punire i comportamenti, ma giudica le strutture.
In questo scenario, il Modello 231 e l’Organismo di Vigilanza non sono più adempimenti, ma strumenti di governo. E come tutti gli strumenti di governo, funzionano solo se vengono utilizzati.
La vera domanda, quindi, non è se l’impresa abbia un modello.
La domanda è: quel modello incide davvero sulle decisioni?
Se la risposta è sì, la compliance diventa un vantaggio competitivo.
Se la risposta è no, resta solo un rischio mascherato da protezione.
Non basta adottare un modello.
Non basta nominare un OdV.
Non basta scrivere procedure.
Serve un sistema che funzioni davvero.
Un sistema in cui:
le regole siano applicate;
i controlli siano effettivi;
le informazioni circolino;
le criticità emergano;
le decisioni vengano corrette.
Fonti
Pompeo Polito – I presupposti della responsabilità amministrativa dell’Ente (artt. 4, 5 e 8).
Ciro Santoriello – Dalla Cassazione una chiara indicazione: del Modello Organizzativo più che il contenuto interessa l’effettiva applicazione.
Raffaele Guariniello – Responsabilità amministrativa delle imprese in materia di sicurezza sul lavoro.
Marco Martorana – Analisi pratica della documentazione 231 e Casi giurisprudenziali.
Pierluigi Perri – Il sistema informativo aziendale e i reati informatici nel D.Lgs. 231/01.
Micaela Stefania Negro – L’organismo di vigilanza (artt. 6 e 7).
Massimiliano Ricordini – La responsabilità degli Organi di Amministrazione e di Controllo.
Enrico Napoletano – Omesso impedimento del reato e illecito amministrativo dell’ente: quale responsabilità per l’Organismo di Vigilanza in caso di omesso o insufficiente controllo?
Tribunale Milano, Sez. II, sent. 7 aprile 2021, n. 10748.
Materiale didattico MASTER IN RESPONSABILITÀ AMMINISTRATIVA D.LGS. 231.
