Cinque errori che rendono inefficace un Modello 231
Nel procedimento a carico dell’ente, il Modello 231 non viene valutato in base al numero delle pagine, alla qualità grafica o alla presenza formale di una Parte generale e di una Parte speciale. La domanda decisiva è un’altra: quale regola organizzativa avrebbe dovuto governare il processo nel quale è maturato il reato e perché quella regola non ha funzionato?
L’art. 6 del D.Lgs. 231/2001 richiede infatti l’individuazione delle attività a rischio, protocolli specifici per la formazione e l’attuazione delle decisioni, controlli sulle risorse finanziarie, flussi verso l’Organismo di Vigilanza e un sistema disciplinare effettivo. Non basta, dunque, possedere un documento denominato “Modello 231”.
1. Mappare i reati, ma non i processi reali
Molte valutazioni del rischio si limitano ad associare i reati presupposto ai diversi uffici aziendali: corruzione all’area commerciale, reati societari all’amministrazione, sicurezza alla produzione. È una classificazione astratta, non una vera analisi organizzativa.
Il rischio deve essere ricostruito seguendo il processo: chi avvia l’operazione, chi dispone della spesa, chi verifica, chi autorizza eventuali deroghe e quale evidenza rimane del controllo.
La Cassazione n. 21704 del 2023 ha esaminato il caso di un lavoratore deceduto durante un intervento notturno in un ambiente confinato. La società aveva adottato un Modello e istituito l’Organismo di Vigilanza, ma l’attività veniva svolta secondo una prassi non formalizzata: un solo addetto interveniva in un ambiente nel quale poteva svilupparsi una sostanza tossica, senza una squadra adeguatamente formata e attrezzata. Il punto critico non era quindi la mancata menzione astratta del rischio sicurezza, ma l’assenza di una procedura capace di intercettare la concreta modalità di lavoro adottata in azienda.
Lo stesso problema si incontra, ad esempio, quando un’impresa dichiara di avere presidi contro la corruzione, ma non analizza le varianti contrattuali, gli acquisti urgenti, gli affidamenti a consulenti, i subappalti o le spese di rappresentanza. Il reato è stato indicato; il processo nel quale potrebbe verificarsi, invece, non è stato realmente studiato.
2. Scrivere protocolli che non regolano alcuna decisione
Un protocollo non è efficace solo perché richiama il codice etico, la legge o generici principi di trasparenza e tracciabilità. Deve stabilire concretamente come si forma la decisione aziendale.
Un protocollo acquisti che si limiti a prevedere la scelta del fornitore “secondo criteri di convenienza, correttezza e trasparenza” non chiarisce chi seleziona gli operatori, quando occorrono più preventivi, chi verifica eventuali conflitti di interesse, chi può autorizzare una deroga e dove deve essere motivata.
La sentenza Impregilo, Cassazione n. 23401 del 2022, ha escluso che l’inidoneità del Modello possa essere desunta automaticamente dal fatto che il reato sia stato commesso.
La valutazione deve essere effettuata rispetto alla specifica organizzazione e al rischio che la cautela era destinata a prevenire. Nel caso esaminato, sono state considerate rilevanti le procedure che regolavano la formazione e la diffusione delle comunicazioni societarie sensibili, comprese le competenze e i passaggi autorizzativi.
Il problema, quindi, non è necessariamente avere protocolli brevi. È avere protocolli che non consentano di ricostruire: proposta, istruttoria, verifica, autorizzazione, eventuale deroga e conservazione della prova.
3. Copiare nel Modello procedure tecniche già esistenti
Il Modello 231 non deve sostituire il DVR, il sistema di gestione della sicurezza, il manuale qualità, le procedure ambientali o il regolamento acquisti. Deve verificare che questi strumenti siano inseriti in un sistema di responsabilità, controlli, flussi informativi e reazioni alle violazioni.
Copiare integralmente una procedura tecnica nella Parte speciale può aumentare il volume del Modello senza rafforzarne l’efficacia. Il risultato è spesso un documento difficile da aggiornare e nel quale non è chiaro quali prescrizioni abbiano rilevanza ai fini della prevenzione 231.
Nel caso deciso dalla Cassazione n. 21704 del 2023, la questione non era semplicemente stabilire se la società possedesse documenti sulla sicurezza, ma verificare se l’organizzazione avesse predisposto accorgimenti concretamente idonei a prevenire il tipo di evento verificatosi. La Corte ha ricondotto la responsabilità dell’ente alla presenza di uno specifico deficit organizzativo, non alla mera violazione individuale della normativa antinfortunistica.
Un Modello ben costruito, pertanto, non duplica la procedura operativa. Individua chi ne controlla l’applicazione, quali anomalie devono essere comunicate, chi interviene in caso di scostamento e quali conseguenze derivano dalla mancata osservanza.
4. Trasformare l’Organismo di Vigilanza in una figura ornamentale o in un amministratore aggiunto
L’Organismo di Vigilanza può essere inefficace per due ragioni opposte.
La prima è l’assenza di autonomia: l’OdV riceve informazioni solo quando i vertici decidono di trasmetterle, non dispone di accesso alla documentazione e non può verificare direttamente i processi più esposti. La giurisprudenza ha già considerato inidoneo un sistema nel quale l’organismo di controllo era privo di poteri autonomi ed effettivi e sostanzialmente dipendente dai soggetti controllati.
La seconda è l’eccessiva ingerenza. L’OdV non dovrebbe approvare contratti, autorizzare pagamenti, selezionare fornitori o partecipare alla gestione. Nel caso Impregilo, la Cassazione ha chiarito che attribuire all’organismo poteri gestori o di supervisione sulle decisioni dei vertici finirebbe per snaturarne la funzione e compromettere la stessa autonomia del controllante. Il suo compito è vigilare sul funzionamento e sull’osservanza del Modello, rilevarne le criticità e sollecitarne l’aggiornamento.
L’effettività dell’OdV deve risultare dalla documentazione: piano delle verifiche, verbali, campionamenti, richieste di chiarimenti, segnalazione delle anomalie e controllo sull’attuazione delle misure correttive. La sola nomina non dimostra che la vigilanza sia stata realmente svolta.
5. Aggiornare il Modello soltanto quando cambia la legge
L’aggiornamento non coincide con l’inserimento periodico dei nuovi reati presupposto. Un Modello può essere formalmente aggiornato sul piano normativo e, nello stesso tempo, descrivere un’azienda che non esiste più.
L’avvio di una nuova linea di attività, l’ingresso nei contratti pubblici, l’acquisizione di una società, la modifica delle deleghe, l’esternalizzazione di un processo, una segnalazione whistleblowing o una grave anomalia emersa durante un audit possono incidere sul rischio più di una modifica legislativa.
La Cassazione, nel caso Impregilo, ha definito l’effettività del Modello come un processo evolutivo e dinamico, nel quale l’ente deve valutare i rischi connessi alla propria specifica organizzazione e individuare le misure prevenzionali appropriate.
È significativo anche quanto avvenuto nel procedimento deciso dalla sentenza n. 21704 del 2023: il successivo aggiornamento del Modello e l’attività documentata dall’OdV hanno inciso favorevolmente sul trattamento sanzionatorio, ma non hanno eliminato il deficit organizzativo esistente al momento del fatto.
Quando un Modello 231 è realmente difendibile
Un Modello è concretamente utile quando consente di rispondere, con documenti verificabili, a cinque domande:
Dove era collocato il rischio? Quale controllo era previsto? Chi doveva esercitarlo? Quale prova rimane della verifica? Come ha reagito l’organizzazione quando è emersa un’anomalia?
Se queste risposte non sono ricavabili dal sistema aziendale, il problema non è che il Modello sia troppo breve o poco dettagliato. Il problema è che non governa il rischio per il quale dovrebbe essere utilizzato.
