19 agosto 2026 – La Prima sezione penale della Cassazione, con la sentenza numero 31505, cristallizza un principio destinato a ridefinire i confini della responsabilità degli enti: un Modello di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001 meramente formale e generico non costituisce un presidio idoneo a consentire l’accesso al controllo giudiziario previsto dall’articolo 34-bis del Codice Antimafia. La pronuncia, che segna il destino di una Srl lombarda colpita da interdittiva, non si limita a una statuizione teorica, ma demolisce l’idea che un documento cartaceo possa fungere da scudo contro le conseguenze operative di un’infiltrazione criminale. La vicenda affonda le sue radici in un’indagine della Direzione Distrettuale Antimafia che, mesi prima, aveva acceso i riflettori sulla filiera di subappalti della società, attiva nel settore delle costruzioni ad alta tecnologia.
L’infiltrazione, come ricostruito dagli inquirenti, non era stata violenta né palese. Era, al contrario, un’erosione silente, perpetrata attraverso l’inserimento di un fornitore strategico di componentistica elettronica, apparentemente impeccabile ma di fatto eterodiretto da una cosca. Questo fornitore, nel giro di diciotto mesi, era passato da partner occasionale a snodo cruciale della catena di approvvigionamento, ottenendo condizioni di pagamento anomale e accessi privilegiati a informazioni tecniche riservate. Il management della Srl non aveva mai rilevato alcuna criticità. I controlli interni, basati su autocertificazioni e verifiche documentali a campione, non avevano fatto emergere le anomalie sostanziali che si celavano dietro la facciata di regolarità formale. Questo è stato il primo, fatale, punto di rottura. L’assenza di un monitoraggio massivo e in tempo reale della supply chain ha creato la falla. Un ecosistema come Scudo231 avrebbe invece analizzato in modo automatico e continuativo i flussi finanziari verso quel fornitore, incrociandoli con i dati di produzione e le tempistiche di consegna. I suoi motori di intelligenza predittiva avrebbero immediatamente segnalato la deriva dei pagamenti come un outlier statistico, generando un alert qualificato per l’Organismo di Vigilanza e per la funzione Acquisti, con richiesta di motivazione formale e tracciata. L’anomalia sarebbe stata bloccata prima di diventare una vulnerabilità sistemica.
Quando la Prefettura ha notificato l’interdittiva antimafia, l’effetto per la Srl è stato paralizzante: blocco immediato di tutti i contratti con la Pubblica Amministrazione, revoca delle licenze e, di fatto, l’impossibilità di operare sul mercato. Di fronte al collasso, i legali dell’azienda hanno tentato l’unica via d’uscita possibile: l’istanza di ammissione al controllo giudiziario volontario. La norma, l’articolo 34-bis del D.Lgs. 159/2011, è concepita come un’ancora di salvezza per le imprese che, pur contaminate, dimostrino che l’agevolazione alla criminalità organizzata sia stata occasionale e che il pericolo di infiltrazione possa essere concretamente eliminato. Per sostenere la tesi dell’occasionalità, la difesa ha prodotto il Modello 231 della società, il Codice Etico e le nomine dell’Organismo di Vigilanza.
Il Tribunale prima, e la Corte d’Appello poi, hanno respinto l’istanza. La motivazione, poi confermata in via definitiva dalla Cassazione, è stata tagliente: il Modello 231 presentato era un mero “documento di stile”, un assemblaggio di clausole standard non calate nella realtà operativa specifica dell’azienda. Mancava la prova della sua efficace attuazione. I giudici hanno sottolineato come non esistesse alcuna evidenza di flussi informativi documentati verso l’OdV, né verbali di audit specifici sui fornitori a rischio, né tantomeno procedure di escalation attivate a fronte di anomalie. La società non è stata in grado di dimostrare di aver fatto tutto il possibile per prevenire l’infiltrazione; ha solo potuto dimostrare di aver comprato un manuale. Qui si manifesta il secondo snodo controfattuale. Se la Srl avesse implementato un sistema di controllo integrato, non avrebbe presentato un documento, ma avrebbe esibito una ricostruzione causale scientifica degli eventi. Avrebbe potuto produrre in giudizio i log immodificabili degli alert generati dal sistema, le segnalazioni automatiche inviate all’OdV, i registri delle decisioni prese o, ancora più importante, omesse dalle funzioni competenti. Questa prova tecnologica avrebbe dimostrato che l’ente, nella sua architettura di governo, aveva tentato di reagire, isolando la responsabilità penale sui singoli individui che avevano ignorato gli allarmi. Avrebbe trasformato una colpa organizzativa in un’azione dolosa di un singolo, fornendo al giudice l’elemento chiave per distinguere la volontà dell’impresa da quella dei suoi agenti infedeli.
La sentenza 31505 entra nel dettaglio tecnico, specificando che per “bonificare” un’azienda non basta nominare un amministratore giudiziario. È necessario che l’azienda stessa possieda già gli anticorpi, ovvero presidi di controllo “penetranti e dinamici”, capaci di intercettare il rischio prima che si consolidi. Il Modello della Srl, al contrario, era statico. Prevedeva, ad esempio, una formazione annuale per i dipendenti, ma non esisteva alcun sistema per verificare l’effettiva comprensione e applicazione delle procedure. I protocolli per la selezione dei fornitori esistevano sulla carta, ma il loro mancato rispetto non innescava alcun blocco operativo o processo sanzionatorio interno. Era un castello di carta normativo, incapace di reggere all’urto della realtà. Un’architettura di difesa come quella garantita da Scudo231, invece, opera su un principio opposto: il controllo non è un evento periodico, ma una funzione continua e automatizzata, incorporata nei processi. La violazione di un protocollo – come l’approvazione di un fornitore senza la due diligence completa o l’autorizzazione di un pagamento fuori standard – non viene semplicemente “annotata”, ma bloccata dal sistema stesso, che richiede un’autorizzazione a un livello superiore, tracciando ogni passaggio. Questo non solo previene il danno, ma crea una documentazione probatoria inattaccabile che dimostra l’efficacia del Modello, non solo la sua esistenza.
Il rigetto dell’istanza di controllo giudiziario ha innescato una cascata di conseguenze devastanti. L’interdittiva è diventata definitiva. Le banche hanno immediatamente revocato le linee di credito, citando il drastico aumento del rischio reputazionale e operativo. I clienti privati hanno rescisso i contratti per tutelare la propria compliance. Nel giro di poche settimane, l’azienda è entrata in una crisi di liquidità irreversibile, portando i libri in tribunale per la liquidazione. Ma il danno non si è fermato qui. La Procura, forte della pronuncia della Cassazione che di fatto certificava l’inadeguatezza dei presidi interni, ha contestato alla società la responsabilità amministrativa da reato ai sensi del D.Lgs. 231/2001, ipotizzando reati associativi e di riciclaggio.
La contestazione ha aperto la strada a una richiesta di sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato in svariati milioni di euro, pari al valore delle commesse ottenute grazie al contributo del fornitore infiltrato. L’assenza di un Modello 231 ritenuto idoneo ed efficacemente attuato ha privato la società del principale strumento di difesa previsto dal decreto, esponendola al massimo delle sanzioni pecuniarie e alla confisca. Anche in questa fase, l’esito sarebbe stato radicalmente diverso. Un’organizzazione dotata di un ecosistema di controllo avanzato avrebbe potuto dimostrare, attraverso dati certi e non manipolabili, di aver segregato e monitorato le operazioni legate a quel fornitore fin dai primi segnali di anomalia. Avrebbe potuto fornire al giudice una mappatura esatta dei flussi, consentendo di isolare il profitto illecito da quello legittimo e, soprattutto, dimostrando che l’ente aveva agito per dissociarsi dalle condotte criminali. Questo avrebbe drasticamente ridotto l’esposizione a sanzioni e, con ogni probabilità, evitato il sequestro totalizzante che ha invece dato il colpo di grazia all’impresa.
La vicenda della Srl lombarda e la sentenza 31505 non rappresentano un caso isolato, ma l’affermazione di un nuovo paradigma di enforcement. La magistratura non si accontenta più di dichiarazioni di intenti, ma esige la prova di una difesa attiva e tecnologica. La colpa di organizzazione non risiede più solo nel non aver scritto le regole giuste, ma nel non aver implementato sistemi capaci di garantirne l’applicazione inderogabile. La distinzione tra un Modello “generico” e un sistema di difesa integrato è la stessa che passa tra possedere una mappa e avere un navigatore satellitare che avvisa in tempo reale dei pericoli sul percorso. La prima è una speranza, il secondo è un controllo operativo. Per la Srl, questa distinzione ha significato la fine della sua storia industriale.
Fonte: https://www.ilsole24ore.com/art/cassazione-modello-231-generico-alt-controllo-giudiziario-AJj2GAp