Modello Organizzativo 231 (MOG 231)
Modello di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001
Il Modello Organizzativo 231 (abbreviato in MOG 231 o semplicemente Modello 231) è lo strumento cardine previsto dal Decreto Legislativo 8 giugno 2001, n. 231 per consentire alle imprese, alle società e agli enti di prevenire la commissione di reati presupposto e di escludere o attenuare la propria responsabilità amministrativa derivante da illeciti penali commessi da soggetti che operano al loro interno.
Natura e Finalità del Modello 231
Il Modello 231 è un sistema strutturato di regole, procedure, protocolli operativi e controlli che mira a:
Prevenire la commissione di reati presupposto nell’interesse o a vantaggio dell’ente
Diffondere una cultura aziendale improntata alla legalità e alla compliance normativa
Garantire la tracciabilità delle decisioni e delle operazioni sensibili
Proteggere l’ente da sanzioni pecuniarie, interdittive e dalla confisca dei beni
Dimostrare in sede giudiziaria l’estraneità dell’ente alla condotta illecita
L’adozione del Modello 231 è volontaria, ma la sua assenza o inadeguatezza, in caso di commissione di un reato presupposto, comporta automaticamente la responsabilità amministrativa dell’ente con conseguenti sanzioni severe.
La Funzione Esimente del Modello 231
Il D.Lgs. 231/2001, all’articolo 6, stabilisce che l’ente non risponde della responsabilità amministrativa se dimostra che:
L’organo dirigente ha adottato ed efficacemente attuato, prima della commissione del reato, un modello di organizzazione e gestione idoneo a prevenire reati della specie di quello verificatosi
Ha affidato a un Organismo di Vigilanza (OdV) dotato di autonomi poteri di iniziativa e controllo il compito di vigilare sul funzionamento, l’osservanza e l’aggiornamento del modello
Il reato è stato commesso eludendo fraudolentemente il modello di organizzazione e gestione
Non vi è stata omessa o insufficiente vigilanza da parte dell’Organismo di Vigilanza
La funzione esimente del Modello 231 si basa sul principio della “colpa di organizzazione”: l’ente è responsabile non per il reato in sé, ma per non aver predisposto un sistema organizzativo adeguato a impedirne la commissione.
Condizioni per la Responsabilità dell’Ente
La responsabilità amministrativa dell’ente scatta quando ricorrono congiuntamente le seguenti condizioni:
Commissione di un reato presupposto da parte di soggetti apicali o sottoposti alla loro vigilanza
Il reato è stato commesso nell’interesse o a vantaggio dell’ente (anche non esclusivo)
Mancata adozione di un Modello 231 adeguato ed efficace, oppure sua mancata attuazione se esistente
Mancata istituzione dell’Organismo di Vigilanza oppure omessa o insufficiente vigilanza da parte dello stesso
Struttura del Modello Organizzativo 231
Il Modello 231, secondo le best practices consolidate e gli standard di settore, si articola in due sezioni principali accompagnate da allegati documentali obbligatori:
Parte Generale
La Parte Generale definisce i principi fondamentali, la struttura complessiva del modello e il funzionamento degli strumenti di prevenzione e controllo. Include:
Quadro normativo di riferimento: D.Lgs. 231/2001 e successive modifiche, catalogo dei reati presupposto applicabili all’ente
Finalità e destinatari del modello: soggetti apicali, dipendenti, collaboratori, consulenti, fornitori, partner commerciali
Principi ispiratori: etica, trasparenza, tracciabilità, separazione delle funzioni, controllo incrociato
Governance aziendale: organigramma, sistema delle deleghe e procure, responsabilità operative
Organismo di Vigilanza: composizione, requisiti, funzioni, poteri, flussi informativi verso il vertice societario
Sistema disciplinare e sanzionatorio: sanzioni per violazioni del modello, proporzionalità delle sanzioni
Formazione e comunicazione: programmi di training, diffusione del modello, aggiornamento periodico del personale
Procedura di whistleblowing: canali riservati per segnalazioni, tutela del segnalante, gestione delle segnalazioni
Parte Speciale
La Parte Speciale è dedicata alla regolamentazione dettagliata delle singole aree aziendali a rischio reato e alla predisposizione di protocolli operativi specifici. Si compone di:
Mappatura delle attività sensibili: identificazione dei processi esposti al rischio di commissione di reati presupposto
Protocolli operativi specifici per ciascuna area a rischio: procedure di prevenzione, regole comportamentali, misure di controllo
Analisi dei reati presupposto rilevanti: descrizione dei reati applicabili a ciascun processo aziendale
Responsabili dei processi a rischio: individuazione delle figure con presidio di ciascuna funzione sensibile
Segregazione delle funzioni: separazione tra chi autorizza, chi esegue e chi controlla un’operazione
Modalità di segnalazione delle violazioni e misure di intervento in caso di non conformità
Flussi informativi verso l’OdV: obblighi di reporting periodico e segnalazioni straordinarie
I Contenuti Essenziali del Modello 231
1. Mappatura delle Attività a Rischio (Risk Assessment)
Il risk assessment rappresenta il punto di partenza obbligatorio per la costruzione del Modello 231. Consiste nell’identificazione sistematica delle aree aziendali potenzialmente esposte al rischio di commissione di reati presupposto.
La mappatura deve analizzare:
Processi operativi: attività quotidiane dell’ente e loro criticità
Relazioni con terzi: rapporti con Pubblica Amministrazione, clienti, fornitori, partner
Gestione delle risorse finanziarie: flussi di cassa, pagamenti, fatturazione
Sistema di poteri e deleghe: chi decide, chi autorizza, chi esegue
Procedure di controllo interno esistenti e loro adeguatezza
Vulnerabilità organizzative: aree prive di presidi, controlli deboli, mancanza di tracciabilità
Per ciascuna area a rischio identificata, la mappatura deve valutare:
Probabilità di accadimento del reato
Impatto potenziale sull’ente in caso di commissione del reato
Adeguatezza dei controlli esistenti
Livello di rischio residuo dopo l’implementazione dei controlli
2. Protocolli e Procedure di Prevenzione (Risk Management)
I protocolli di prevenzione costituiscono il cuore operativo del Modello 231. Devono essere:
Specifici: calibrati sul rischio concreto da contenere, non generici
Determinati: regole chiare, dettagliate, non ambigue
Tracciabili: ogni operazione deve essere documentata e verificabile
Dinamici: capaci di adattarsi ai cambiamenti organizzativi e normativi
Efficacemente attuati: non solo formalmente adottati, ma concretamente applicati
Ogni protocollo deve definire:
Responsabile del processo: chi presidia l’attività sensibile
Fasi del processo: sequenza delle operazioni da compiere
Soggetti coinvolti: ruoli e responsabilità di ciascuno
Separazione delle funzioni: nessun soggetto può gestire autonomamente l’intero processo
Controlli preventivi: autorizzazioni, verifiche preliminari
Controlli successivi: revisione, riconciliazione, audit
Documentazione obbligatoria: archivi, registri, tracce informatiche
Flussi informativi: comunicazioni verso l’OdV e il vertice
3. Sistema di Controllo Interno
Il Modello 231 deve prevedere un sistema di controllo interno articolato su più livelli:
Controlli di linea: effettuati dai responsabili operativi nel corso delle attività
Controlli di secondo livello: svolti da funzioni specializzate (compliance, risk management)
Controlli di terzo livello: audit interno e Organismo di Vigilanza
Il sistema di controllo deve garantire:
Monitoraggio continuo delle attività sensibili
Rilevazione tempestiva di anomalie o irregolarità
Segnalazione immediata all’OdV delle situazioni critiche
Interventi correttivi rapidi ed efficaci
4. L’Organismo di Vigilanza (OdV)
L’Organismo di Vigilanza è l’organo deputato a vigilare sul funzionamento, l’osservanza e l’aggiornamento del Modello 231. Rappresenta un requisito essenziale e obbligatorio per l’efficacia esimente del modello.
Requisiti dell’OdV
L’Organismo di Vigilanza deve possedere tre caratteristiche fondamentali:
Autonomia e indipendenza: non deve essere sottoposto alla direzione o al controllo di alcun organo operativo dell’ente; deve essere collocato in posizione di staff rispetto al vertice e deve riferire direttamente al Consiglio di Amministrazione o all’organo equivalente
Professionalità: deve possedere competenze tecniche specialistiche in materia di attività ispettiva e consulenziale, tecniche di analisi e valutazione dei rischi, diritto penale d’impresa, organizzazione aziendale
Continuità d’azione: deve operare in modo costante e sistematico, non sporadico; deve disporre di risorse adeguate (tempo, budget, strumenti) per svolgere efficacemente le proprie funzioni
Composizione dell’OdV
L’OdV può essere:
Monocratico: un singolo professionista esterno con competenze multidisciplinari
Collegiale: composto da 3-5 membri con competenze complementari (giuridiche, economico-finanziarie, organizzative)
Misto: combinazione di membri interni ed esterni all’ente
Per le piccole imprese, l’OdV può coincidere con il titolare o con un amministratore, purché siano garantiti i requisiti di autonomia, professionalità e continuità.
Funzioni e Poteri dell’OdV
L’Organismo di Vigilanza ha il compito di:
Vigilare sull’effettiva applicazione del modello da parte dei destinatari
Verificare l’adeguatezza del modello rispetto alle esigenze di prevenzione dei reati
Curare l’aggiornamento del modello in caso di modifiche normative o organizzative
Promuovere la formazione del personale sui contenuti del modello
Condurre verifiche periodiche (audit) sui processi sensibili
Analizzare i flussi informativi ricevuti dalle funzioni aziendali
Gestire le segnalazioni di whistleblowing
Proporre sanzioni disciplinari in caso di violazioni del modello
Riferire periodicamente al vertice societario sullo stato di attuazione del modello
Per svolgere tali funzioni, l’OdV deve avere:
Libero accesso a tutte le informazioni aziendali rilevanti
Potere di iniziativa: può avviare verifiche autonome senza preventiva autorizzazione
Potere di spesa: budget dedicato per consulenze esterne, formazione, audit
Canali di reporting diretti al vertice aziendale senza intermediazioni
5. Codice Etico e di Comportamento
Il Codice Etico è il documento che definisce i valori fondamentali e i principi comportamentali ai quali l’ente e tutti i suoi collaboratori devono uniformarsi.
Il Codice Etico deve contenere:
Principi generali: legalità, integrità, trasparenza, correttezza, riservatezza
Norme di comportamento nei rapporti con:
Pubblica Amministrazione
Clienti e fornitori
Partner commerciali
Concorrenti
Dipendenti e collaboratori
Azionisti e investitori
Comunità e ambiente
Divieti specifici: corruzione, concussione, frode, falsificazione, conflitto di interessi
Obblighi di segnalazione: comportamenti sospetti o irregolarità
Tutele per i segnalanti: protezione da ritorsioni
Conseguenze delle violazioni: rinvio al sistema disciplinare
Il Codice Etico deve essere:
Diffuso a tutti i destinatari (dipendenti, collaboratori, fornitori)
Pubblicamente accessibile (pubblicazione sul sito web aziendale)
Oggetto di formazione specifica
Vincolante anche per terzi mediante inserimento nei contratti
6. Sistema Disciplinare e Sanzionatorio
Il sistema disciplinare rappresenta un elemento essenziale del Modello 231. Svolge una funzione di deterrenza e garantisce l’effettività del modello.
Il sistema deve prevedere sanzioni per:
Violazione delle prescrizioni del Modello 231
Violazione del Codice Etico
Omessa o tardiva comunicazione all’OdV di informazioni rilevanti
Ostacolo all’attività di vigilanza dell’OdV
Violazione dei protocolli operativi
Le sanzioni devono essere:
Proporzionate alla gravità della violazione
Graduate: da richiamo verbale fino al licenziamento per giusta causa
Conformi alla normativa giuslavoristica e al CCNL applicabile
Differenziate in base al destinatario (dipendenti, dirigenti, amministratori, consulenti, fornitori)
Effettivamente applicate: non devono rimanere sulla carta
Tipologie di sanzioni previste:
Per i dipendenti: richiamo verbale, richiamo scritto, multa, sospensione, licenziamento disciplinare
Per i dirigenti: richiamo formale, sospensione dalle funzioni, revoca della delega, risoluzione del rapporto
Per gli amministratori: revoca delle deleghe, obbligo di risarcimento danni, revoca dalla carica
Per consulenti e collaboratori esterni: contestazione formale, penali contrattuali, risoluzione del contratto
Per fornitori e partner: sospensione della fornitura, risoluzione del contratto, esclusione da future collaborazioni
7. Procedura di Whistleblowing
La procedura di whistleblowing (segnalazione di illeciti) è divenuta obbligatoria con il recepimento della Direttiva UE 2019/1937, attuata in Italia con il D.Lgs. 24/2023.
Il Modello 231 deve prevedere:
Canali di segnalazione dedicati: piattaforma digitale, email riservata, casella postale, linea telefonica
Tutela dell’identità del segnalante: riservatezza assoluta, possibilità di segnalazione anonima
Divieto di ritorsioni: protezione da licenziamento, demansionamento, mobbing, discriminazione
Gestione delle segnalazioni: protocollo di ricezione, valutazione, istruttoria, risposta al segnalante
Competenza dell’OdV: l’Organismo di Vigilanza riceve e analizza le segnalazioni
Tempi di risposta: conferma di ricezione entro 7 giorni, riscontro entro 3 mesi
Conservazione riservata: archivio separato e protetto delle segnalazioni
8. Formazione e Comunicazione
L’efficacia del Modello 231 dipende dalla conoscenza e consapevolezza dei suoi contenuti da parte di tutti i destinatari.
Il piano di formazione deve prevedere:
Formazione iniziale: per tutti i nuovi assunti al momento dell’inserimento
Formazione periodica: sessioni di aggiornamento almeno annuali
Formazione mirata: moduli specifici per le funzioni che operano in aree sensibili
Formazione differenziata: contenuti e livello di approfondimento adeguati al ruolo
I contenuti formativi devono includere:
Principi e finalità del D.Lgs. 231/2001
Struttura e contenuti del Modello 231
Reati presupposto rilevanti per l’ente
Protocolli operativi delle aree sensibili
Codice Etico e sistema disciplinare
Funzioni e composizione dell’OdV
Procedura di whistleblowing
La comunicazione del Modello 231 avviene mediante:
Pubblicazione sulla intranet aziendale e sul sito web istituzionale
Distribuzione di copie cartacee o digitali a tutti i dipendenti
Inserimento di clausole contrattuali specifiche nei contratti con terzi
Campagne di sensibilizzazione periodiche
Newsletter e comunicazioni interne
Allegati Fondamentali del Modello 231
Il Modello 231 deve essere corredato da una serie di allegati documentali che ne completano il contenuto e ne dimostrano l’effettiva applicazione:
Catalogo completo dei reati presupposto: elenco aggiornato di tutte le fattispecie previste dal D.Lgs. 231/2001 e successive modifiche
Mappatura dettagliata delle attività a rischio: matrice rischi-processi con valutazione di probabilità e impatto
Codice Etico e di Comportamento
Sistema Disciplinare e Sanzionatorio
Regolamento dell’Organismo di Vigilanza: composizione, funzioni, modalità operative, budget
Procedura di Whistleblowing
Organigramma aziendale: struttura gerarchica, linee di reporting
Sistema di deleghe e procure: poteri conferiti, limiti, controlli
Protocolli operativi specifici per ciascuna area a rischio
Procedure di controllo interno
Flussi informativi verso l’OdV: tipologie, periodicità, responsabili
Piano di formazione: calendario, programmi, materiali didattici
Verbali delle riunioni dell’OdV
Report periodici dell’OdV al vertice societario
Registri delle attività di audit e delle verifiche ispettive
Le Fasi di Elaborazione del Modello 231
La costruzione di un Modello 231 efficace richiede un processo strutturato che si articola nelle seguenti fasi:
Fase 1: Analisi del Contesto Aziendale
Studio della struttura organizzativa dell’ente
Analisi delle attività svolte e dei processi operativi
Identificazione delle dinamiche decisionali interne
Esame del sistema di deleghe e procure esistente
Valutazione dei controlli interni già presenti
Fase 2: Risk Assessment (Mappatura dei Rischi)
Identificazione dei reati presupposto applicabili all’ente
Individuazione delle aree aziendali esposte a rischio reato
Valutazione della probabilità di commissione dei reati
Stima dell’impatto potenziale di ciascun reato sull’ente
Identificazione delle vulnerabilità organizzative
Creazione della matrice rischi-processi
Fase 3: Risk Management (Definizione dei Protocolli)
Progettazione dei protocolli operativi specifici
Definizione delle procedure di controllo per ciascun processo sensibile
Implementazione del principio di segregazione delle funzioni
Predisposizione dei flussi informativi verso l’OdV
Definizione di indicatori di anomalia (red flags)
Fase 4: Predisposizione della Documentazione
Redazione della Parte Generale del Modello 231
Redazione della Parte Speciale del Modello 231
Stesura del Codice Etico
Elaborazione del Sistema Disciplinare
Definizione della Procedura di Whistleblowing
Predisposizione degli allegati documentali
Fase 5: Istituzione dell’Organismo di Vigilanza
Individuazione dei componenti dell’OdV
Nomina formale da parte dell’organo amministrativo
Definizione del Regolamento dell’OdV
Attribuzione di budget e risorse operative
Avvio dell’operatività dell’OdV
Fase 6: Approvazione e Adozione Formale
Delibera di approvazione da parte del Consiglio di Amministrazione o organo equivalente
Formalizzazione dell’adozione del Modello 231
Comunicazione ufficiale a tutti i destinatari
Pubblicazione del Modello sui canali aziendali
Fase 7: Implementazione e Formazione
Avvio delle attività formative per tutto il personale
Diffusione dei protocolli operativi alle funzioni interessate
Inserimento di clausole 231 nei contratti con terzi
Attivazione dei canali di whistleblowing
Avvio delle attività di monitoraggio da parte dell’OdV
Fase 8: Monitoraggio e Aggiornamento
Verifiche periodiche dell’OdV sull’applicazione del modello
Audit interni sui processi sensibili
Analisi dei flussi informativi ricevuti
Valutazione dell’adeguatezza del modello
Aggiornamento del modello in caso di:
Modifiche normative (nuovi reati presupposto)
Cambiamenti organizzativi (fusioni, acquisizioni, riorganizzazioni)
Violazioni significative o commissione di reati
Emersione di nuove aree di rischio
Contenuto Minimo per l’Efficacia Esimente
Secondo la giurisprudenza consolidata (Tribunale di Milano, sent. 1070/2024), affinché un Modello 231 sia considerato efficace ai fini dell’esonero da responsabilità, deve possedere i seguenti requisiti minimi:
Adozione di protocolli specifici: procedure puntuali, concrete e orientate sul rischio da contenere, non generiche
Determinatezza: regole chiare e dettagliate, non vaghe o ambigue
Effettiva attuazione: il modello deve essere concretamente applicato, non solo formalmente adottato
Indicazione dei responsabili: individuazione nominativa dei soggetti con presidio di ciascun processo a rischio
Regolamentazione dei processi: descrizione dettagliata delle fasi operative e dei controlli
Segregazione delle funzioni: separazione tra chi autorizza, chi esegue e chi controlla
Specificità: aderenza sostanziale al rischio concreto da prevenire
Dinamicità: capacità di adeguarsi ai mutamenti organizzativi e normativi
Completezza dei flussi informativi: garanzia che tutte le informazioni rilevanti giungano all’OdV
Monitoraggio e controllo efficace: verifiche continue da parte del personale e del management
I Vantaggi dell’Adozione del Modello 231
Oltre alla funzione esimente dalla responsabilità amministrativa, l’adozione di un Modello 231 comporta numerosi vantaggi strategici per l’ente:
Reputazionale: migliora l’immagine aziendale e dimostra l’impegno per la legalità
Competitivo: requisito preferenziale per gare d’appalto pubbliche e contratti con grandi committenti
Finanziario: condizione favorevole per l’accesso al credito e agli investimenti
Assicurativo: riduzione dei premi per polizze D&O (Directors & Officers)
Organizzativo: miglioramento dell’efficienza operativa e della governance
Culturale: diffusione di una cultura aziendale improntata all’etica e alla trasparenza
Preventivo: riduzione effettiva del rischio di commissione di reati
Adeguatezza e Aggiornamento del Modello 231
Il Modello 231 non è un documento statico, ma deve essere costantemente verificato e aggiornato. L’adeguatezza del modello viene valutata sulla base di:
Coerenza con la struttura e le attività effettive dell’ente
Completezza nella copertura di tutte le aree a rischio reato
Specificità dei protocolli operativi
Efficacia dei controlli implementati
Effettività dell’applicazione concreta
L’aggiornamento del modello è obbligatorio in presenza di:
Modifiche legislative che introducono nuovi reati presupposto
Cambiamenti nella struttura organizzativa (fusioni, scissioni, acquisizioni)
Apertura di nuove linee di business o mercati
Violazioni significative del modello
Commissione di reati presupposto
Risultati di audit che evidenziano carenze o inefficacia
Evoluzioni tecnologiche che modificano i processi aziendali
Modello 231 e Piccole Imprese
Anche le piccole e medie imprese (PMI) possono e dovrebbero adottare un Modello 231, seppure con modalità semplificate e proporzionate alle proprie dimensioni.
Per le PMI è possibile:
Adottare un Modello Semplificato, focalizzato sui reati presupposto effettivamente rilevanti
Nominare un OdV monocratico esterno con competenze multidisciplinari
Integrare il Modello 231 con altri sistemi di gestione già esistenti (ISO 9001, ISO 14001, ecc.)
Utilizzare modelli di settore predisposti da associazioni di categoria e personalizzarli
Concentrare i protocolli sulle aree a rischio più elevato
Anche per le PMI, tuttavia, restano obbligatori:
La mappatura delle attività a rischio
La definizione di protocolli specifici
L’istituzione dell’Organismo di Vigilanza
Il sistema disciplinare
La formazione del personale
Errori Comuni da Evitare
Nell’adozione e gestione del Modello 231, gli enti commettono frequentemente alcuni errori tipici che ne compromettono l’efficacia:
Modello “copia-incolla”: adozione di modelli generici non personalizzati sulle specificità dell’ente
Mancanza di aggiornamento: modello rimasto immutato per anni nonostante cambiamenti normativi e organizzativi
OdV inefficace: organismo privo di autonomia, professionalità o risorse adeguate
Protocolli vaghi: procedure generiche prive di indicazioni operative concrete
Formazione insufficiente: personale non adeguatamente formato sui contenuti del modello
Mancata attuazione: modello adottato formalmente ma non applicato nella pratica quotidiana
Assenza di controlli: nessuna verifica sull’effettiva osservanza dei protocolli
Sistema disciplinare non applicato: violazioni non sanzionate
Flussi informativi carenti: OdV non informato di eventi rilevanti
Documentazione inadeguata: mancanza di tracciabilità delle operazioni sensibili
Il Modello 231 come Vantaggio Competitivo
Nel contesto economico attuale, il Modello 231 non deve essere percepito come un mero adempimento burocratico, ma come un asset strategico che:
Rafforza la governance aziendale
Migliora l’efficienza operativa attraverso la formalizzazione e l’ottimizzazione dei processi
Aumenta la competitività sul mercato
Facilita l’accesso a finanziamenti e investimenti
Tutela il patrimonio aziendale e la continuità operativa
Protegge gli amministratori da responsabilità personali
Promuove una cultura aziendale etica che attrae talenti e fidelizza i clienti
In un mercato sempre più attento ai temi ESG (Environmental, Social, Governance), il Modello 231 rappresenta un elemento fondamentale della dimensione “Governance”, contribuendo alla sostenibilità e alla responsabilità sociale dell’impresa.
