In breve. Quando un reato viene commesso da chi lavora per un’azienda, non risponde solo la persona: può rispondere anche la società. È la regola introdotta dal D.lgs. 231/2001. La legge la chiama responsabilità “amministrativa”, ma nel processo le sanzioni mordono come quelle penali: multe fino a oltre un milione e mezzo di euro, divieto di lavorare con la pubblica amministrazione, confisca dei profitti, nei casi peggiori il blocco dell’attività. C’è una via d’uscita, e va costruita prima: un Modello organizzativo serio, davvero applicato, con un Organismo di Vigilanza che funziona. Chi ce l’ha può dimostrare di aver fatto la propria parte. Chi lo tiene in un cassetto, no.

La telefonata arriva quasi sempre dopo un sequestro o dopo la notifica di un avviso di garanzia. Chi mi chiama è spesso l’amministratore o il responsabile compliance di un’azienda, e la frase è quasi identica ogni volta: “Avvocato, ma il reato l’ha commesso una persona, perché stanno indagando la società?”.

È la prima cosa che spiego. Dal 2001 in Italia esiste una responsabilità che colpisce direttamente l’ente. Non è una novità di moda: il D.lgs. 8 giugno 2001, n. 231 ha più di vent’anni. Ma continua a sorprendere chi la incontra per la prima volta, perché ribalta un’intuizione di buon senso — “il colpevole è chi ha agito” — e aggiunge un secondo imputato che non ha mani per firmare nulla: la società stessa.

Perché la società risponde

La logica è questa. Se un dipendente o un dirigente commette un reato per portare un vantaggio all’azienda — una tangente per vincere un appalto, una frode fiscale per gonfiare i conti, un disastro ambientale per risparmiare sui costi — allora quel reato non è solo un fatto suo. È anche, in qualche modo, il prodotto di come l’azienda è organizzata, o disorganizzata. La legge chiama questa carenza “colpa di organizzazione”, ed è il vero cuore del sistema.

Perché la responsabilità scatti devono esserci due ingredienti oggettivi. Il primo: il reato deve essere stato commesso da una persona legata all’ente, e qui la legge distingue tra i “soggetti apicali” — chi sta ai vertici, amministra, dirige — e i “sottoposti”, cioè chi lavora sotto la loro direzione. Il secondo: il fatto deve essere stato commesso nell’interesse o a vantaggio della società, anche solo potenziale. Se un dipendente ruba per sé, contro l’azienda, la 231 non entra in gioco.

C’è poi una differenza che, nei processi, fa pendere la bilancia. Se il reato lo ha commesso un apicale, la legge presume la colpa dell’ente: è la società che deve dimostrare di essersi data un Modello idoneo e di averlo attuato davvero (è l’impianto dell’art. 6 del decreto). Se invece a commetterlo è stato un sottoposto, l’onere si rovescia: tocca all’accusa provare che c’è stata una carenza nella direzione o nella vigilanza (art. 7). Sembra un dettaglio tecnico. In aula è spesso tutto.

La 231 non vale per ogni reato

Una precisazione che faccio sempre, perché tranquillizza e insieme mette in guardia: la società non risponde di qualunque cosa accada al suo interno. La 231 si attiva solo per un elenco preciso e chiuso di reati, quelli che la legge ha espressamente “agganciato” al decreto. Sono i cosiddetti reati presupposto.

All’inizio, nel 2001, erano pochissimi: in sostanza corruzione e malversazione ai danni dello Stato. Negli anni quella lista è cresciuta senza sosta, e oggi conta oltre un centinaio di fattispecie. Vi rientrano i reati contro la pubblica amministrazione, i reati societari e gli abusi di mercato, il riciclaggio e l’autoriciclaggio, i delitti informatici, i reati ambientali, la sicurezza sul lavoro, il caporalato, le violazioni del diritto d’autore. Dal 2019 — con il decreto fiscale convertito nella L. 19 dicembre 2019, n. 157 — sono entrati anche i principali reati tributari, come le dichiarazioni fraudolente; l’anno dopo il D.lgs. 14 luglio 2020, n. 75, che ha recepito la direttiva europea PIF a tutela degli interessi finanziari dell’Unione, ha allargato ulteriormente questo fronte.

E l’allargamento non si è fermato. Negli ultimi due anni il legislatore ha aggiunto al catalogo, fra l’altro, i reati di contrabbando e quelli legati al mancato pagamento delle accise, e ha introdotto una fattispecie nuova: la violazione delle misure restrittive adottate dall’Unione europea — le sanzioni economiche, per intenderci, quelle al centro della cronaca degli ultimi anni. Lo dico perché è il punto su cui i Modelli vecchi di qualche anno sono più scoperti: una mappa dei rischi disegnata nel 2020 oggi è quasi sempre da rifare.

Il Modello 231: lo scudo, se è vero

Qui arriviamo allo strumento che, nella mia esperienza, separa l’azienda che esce indenne da quella che paga. Il Modello di Organizzazione, Gestione e Controllo — il “Modello 231” — è il sistema di regole, procedure e controlli che l’ente si dà per prevenire i reati. La legge (sempre l’art. 6) chiede che individui le attività dove il rischio è concreto, fissi protocolli per le decisioni sensibili, controlli la gestione del denaro, preveda un canale di informazione verso l’organo di controllo e un sistema disciplinare per chi viola le regole.

Non basta scriverlo. Deve esistere un Organismo di Vigilanza — l’OdV — indipendente, dotato di poteri reali, che sorveglia in modo continuativo se il Modello funziona e se viene rispettato. Confindustria, l’ABI e altri organismi di categoria hanno pubblicato linee guida che il giudice tiene in conto quando valuta se il Modello era idoneo. Ma il punto dirimente non è la conformità formale: è l’attuazione. Un Modello perfetto sulla carta e morto nei fatti, davanti a un giudice, vale zero.

A questo si è aggiunto un tassello recente: il whistleblowing. Dal D.lgs. 10 marzo 2023, n. 24 — che ha recepito la direttiva europea sulle segnalazioni — le aziende sopra una certa dimensione, e comunque tutte quelle che adottano un Modello 231, devono predisporre canali interni protetti perché chi assiste a un illecito possa segnalarlo senza ritorsioni. Documentare che quel canale esiste e che è davvero usato è oggi parte integrante dell’idoneità del Modello.

Cosa rischia, in concreto, l’azienda

Quando spiego le sanzioni, vedo i volti cambiare. Le sanzioni pecuniarie si calcolano “per quote”, da un minimo di cento a un massimo di mille, ciascuna di valore variabile in funzione del reato e delle condizioni economiche dell’ente: in pratica si va da poche decine di migliaia di euro fino a un tetto che sfiora il milione e mezzo per ogni reato.

Ma il colpo più duro spesso non è la multa. Sono le sanzioni interdittive: il divieto di contrarre con la pubblica amministrazione, la sospensione di autorizzazioni e licenze, l’esclusione da finanziamenti e agevolazioni, fino — nei casi gravi — alla vera e propria interruzione dell’attività. Quelle temporanee vanno da tre mesi a due anni; in situazioni estreme possono diventare definitive. E queste misure possono colpire già in fase cautelare, prima della sentenza, quando il processo è appena cominciato: per molte imprese è una condanna anticipata, perché due anni di esclusione dalle gare valgono più di qualunque multa. A tutto questo si aggiungono la confisca del profitto del reato — anche per equivalente, quindi su altri beni dell’ente — e la pubblicazione della sentenza a spese della società.

Come si difende, davvero, un ente

La difesa non comincia in aula. Comincia dalla verifica dei presupposti: c’è davvero il reato a monte? È stato commesso nell’interesse dell’ente o per fini personali? Chi ha agito era un apicale o un sottoposto? Ogni risposta sposta l’onere della prova e cambia la strategia.

Poi c’è il lavoro sul Modello e sull’OdV: recuperare i verbali, gli audit, le segnalazioni, dimostrare che i controlli non erano una finzione. E quando il quadro è meno favorevole, esistono strade per contenere il danno: cooperare con l’autorità, riparare il danno, aggiornare subito il Modello dopo il fatto, valutare il patteggiamento dell’ente. Infine, e non è secondario, coordinare la difesa della società con quella delle persone fisiche imputate: le due posizioni si intrecciano e possono confliggere, e gestirle in modo coerente è metà del lavoro.

Due casi che racconto spesso

Il primo. Mi è capitato di difendere una società chiamata a rispondere per un episodio di corruzione di un pubblico ufficiale, addebitato a una figura del suo organigramma. La chiave era l’esimente: dimostrare che l’ente si era dotato, prima del fatto, di un Modello idoneo e di un OdV realmente operativo, e che la persona aveva commesso il reato eludendo fraudolentemente quel sistema. Ho prodotto i verbali, gli audit recenti, le evidenze del funzionamento dei controlli. L’ente è stato assolto, proprio perché aveva fatto la sua parte e qualcuno l’aveva aggirata con l’inganno.

Il secondo. Ricordo un procedimento in cui una società rispondeva di un reato tributario, dopo che la riforma aveva incluso anche queste fattispecie tra i reati presupposto. Il quadro era più difficile: il Modello aveva lacune evidenti. Ho scelto una linea pragmatica — aggiornamento immediato dell’organizzazione e cooperazione con l’amministrazione finanziaria — e la posizione si è chiusa con un patteggiamento e una sanzione contenuta, evitando le conseguenze interdittive più pesanti, quelle che avrebbero davvero messo in ginocchio l’attività.

FAQ

La responsabilità 231 è penale o amministrativa? Formalmente è amministrativa. Ma le sanzioni e le regole del processo sono quelle del penale, ed è il giudice penale a decidere. In sostanza, per chi la subisce, è penale.

Tutti i reati fanno scattare la responsabilità della società? No. Solo quelli inseriti nell’elenco dei reati presupposto. È una lista che cambia spesso: la prima cosa da fare è controllare la versione aggiornata.

Quanto costa adottare un Modello 231? Dipende dalla complessità dell’azienda. Per una PMI è un investimento iniziale di alcune decine di migliaia di euro, più i costi annui dell’OdV. Per i gruppi articolati le cifre salgono. Ma è poco rispetto a ciò che si rischia senza.

Un Modello “minimo” mi mette al riparo? No. Il giudice valuta se era idoneo a prevenire quel tipo di reato e se è stato davvero attuato. Un Modello scritto e mai applicato non protegge: spesso peggiora la posizione, perché dimostra che si sapeva e non si è fatto.

Cosa cambia con il whistleblowing? Le aziende sopra le soglie di legge, e tutte quelle con un Modello 231, devono avere canali interni di segnalazione protetti. Farli funzionare davvero rafforza l’idoneità del Modello; ignorarli la indebolisce.

Le norme di riferimento

  • D.lgs. 8 giugno 2001, n. 231 — responsabilità amministrativa degli enti (criteri di imputazione, Modello e OdV, sanzioni, misure cautelari, patteggiamento dell’ente, confisca).
  • L. 19 dicembre 2019, n. 157 e D.lgs. 14 luglio 2020, n. 75 (direttiva PIF) — ingresso dei reati tributari nel catalogo.
  • D.lgs. 10 marzo 2023, n. 24 — whistleblowing e integrazione con i Modelli 231.
  • Interventi recenti che hanno ampliato il catalogo dei reati presupposto (contrabbando e accise; violazione delle misure restrittive dell’Unione europea).
  • Linee guida di Confindustria, ABI e altri organismi di categoria per la redazione dei Modelli.

Per approfondire

La materia 231 è in costante evoluzione e ogni anno il catalogo dei reati si allarga. Iscriviti alla mia newsletter mensile di diritto penale dell’impresa per i commenti sulle riforme e sulla giurisprudenza che contano davvero per chi gestisce un’azienda.

Articoli correlati