Modello 231: quando è obbligatorio e quando conviene

Il modello organizzativo 231 è spesso descritto come obbligatorio per tutte le società. Non è così: il decreto legislativo 231/2001 non impone in via generale a ogni ente di adottarlo. La scelta è formalmente volontaria, ma può diventare concretamente necessaria per governare rischi, partecipare a procedure, rispettare richieste di clienti o accedere a determinati sistemi di qualificazione.

Che cosa disciplina il decreto 231

Il decreto introduce la responsabilità dell'ente per specifici reati commessi nel suo interesse o vantaggio da soggetti apicali o persone sottoposte alla loro direzione. Il catalogo dei reati presupposto si è ampliato nel tempo e include, tra gli altri, corruzione, reati societari, salute e sicurezza, ambiente, riciclaggio e delitti informatici. Il testo del decreto 231 va sempre consultato nella versione vigente.

L'adozione e l'efficace attuazione di un modello idoneo possono assumere funzione esimente o attenuante alle condizioni previste. Non basta acquistare un documento standard: l'ente deve mappare attività sensibili, definire protocolli, controlli, flussi informativi, sistema disciplinare e organismo di vigilanza.

Quando diventa un requisito concreto

Leggi regionali, accreditamenti, bandi, rating e contratti possono attribuire rilievo al modello. Un grande cliente può richiederlo nella vendor qualification; una capogruppo può imporlo alle controllate; banche e investitori possono valutarlo nella due diligence. In questi casi non nasce un obbligo generale per legge, ma una condizione di mercato o di accesso che produce conseguenze reali.

Occorre leggere la fonte specifica: capitolato, regolamento, contratto o disciplina regionale. Scrivere “modello 231 obbligatorio sopra un certo numero di dipendenti” è fuorviante, perché non esiste una soglia nazionale universale basata solo sulle dimensioni. Le Linee guida di Confindustria offrono criteri per costruire modelli coerenti con organizzazione e rischi.

La valutazione costi-benefici

Il consiglio di amministrazione dovrebbe partire da esposizione ai reati presupposto, settore, rapporti con la PA, uso di intermediari, appalti, infortuni, gestione ambientale e flussi finanziari. Più l'organizzazione è complessa e più sono rilevanti reputazione e continuità, maggiore è l'utilità di un presidio strutturato. Anche una PMI può adottare un modello proporzionato.

Tra i benefici vi sono chiarezza delle responsabilità, tracciabilità delle decisioni, migliore coordinamento tra compliance, audit e controlli. Il modello non elimina il rischio, ma rende dimostrabile una gestione preventiva. Tra i costi rientrano analisi iniziale, aggiornamento, formazione, controlli e funzionamento dell'OdV.

Come evitare il modello “di carta”

La mappatura deve descrivere processi reali, non soltanto organigrammi. Per ogni scenario si indicano modalità di commissione, controlli esistenti, gap, responsabili ed evidenze. Codice etico, procedure e deleghe devono essere coerenti. Il sistema disciplinare deve essere applicabile, mentre i flussi verso l'OdV devono avere frequenza e contenuto definiti.

Il portale del Ministero della Giustizia consente di seguire normativa e iniziative istituzionali. L'aggiornamento del modello va attivato quando cambiano reati, struttura, processi, acquisizioni o emergono violazioni e criticità.

La risposta corretta alla domanda iniziale

Il modello 231 non è obbligatorio in via generale, ma l'ente deve verificare prescrizioni settoriali e condizioni contrattuali. Soprattutto deve domandarsi se, senza un sistema strutturato, è in grado di prevenire e dimostrare la gestione dei rischi.

La delibera di adozione è solo l'inizio. Formazione mirata, controlli, segnalazioni, autonomia dell'OdV e aggiornamento continuo distinguono un presidio efficace da un fascicolo formale. Per casi specifici serve una valutazione legale e organizzativa costruita sull'attività effettiva dell'ente.

Un percorso di adozione realistico

Il progetto può iniziare con interviste e raccolta di deleghe, procure, procedure, incidenti e audit. La risk assessment valuta probabilità e impatto degli scenari, considerando controlli già esistenti. Il piano di rimedio assegna priorità: pagamenti e omaggi possono richiedere approvazioni; sicurezza e ambiente controlli tecnici; terze parti una due diligence proporzionata.

Dopo l'approvazione si formano gruppi diversi con casi pertinenti. L'OdV riceve flussi sintetici e accesso alle evidenze, non una massa di documenti senza criterio. Un test periodico verifica che controlli e segnalazioni funzionino. Così l'efficace attuazione è dimostrata da comportamenti, non solo dalla data della delibera.

La due diligence sulle terze parti è un banco di prova concreto. Non tutti i fornitori richiedono la stessa verifica: settore, Paese, interazione con la PA, importo e modalità di pagamento determinano il livello di controllo. Questionari, banche dati, clausole e monitoraggio devono formare un percorso proporzionato, con esito e approvazione tracciati.

Scopri i Master e Corsi che potrebbero Interessarti