D.Lgs 231/2001 spiegato: responsabilità degli enti, reati e modello

Il D.Lgs 8 giugno 2001, n. 231 disciplina la responsabilità degli enti per gli illeciti amministrativi dipendenti da reato (art. 1, comma 1). Una società, un'associazione o una fondazione risponde in proprio, con un procedimento e con sanzioni distinte da quelle della persona fisica, quando un reato compreso nel catalogo degli articoli 24 e seguenti è commesso nel suo interesse o a suo vantaggio da chi la amministra o la dirige, oppure da chi lavora sotto la loro direzione o vigilanza (art. 5). Il giudice è quello penale competente per il reato (art. 36), e le sanzioni sono quattro: pecuniaria, interdittive, confisca, pubblicazione della sentenza (art. 9).

L'ente non risponde se, prima del fatto, ha adottato ed efficacemente attuato un modello di organizzazione e gestione idoneo a prevenire reati della specie di quello commesso, e ne ha affidato la vigilanza a un organismo autonomo (artt. 6 e 7). Il decreto non impone il modello a nessuno: lo rende la sola difesa organizzativa disponibile. Questa guida spiega il meccanismo del decreto; che cosa contiene il modello è nella guida sul modello 231.

A chi si applica la 231

L'art. 1, comma 2, applica il decreto agli enti forniti di personalità giuridica e alle società e associazioni anche prive di personalità giuridica. Rientrano quindi le società di capitali e di persone, le cooperative, i consorzi, le fondazioni e le associazioni, riconosciute o no. Il comma 3 esclude lo Stato, gli enti pubblici territoriali, gli altri enti pubblici non economici e gli enti che svolgono funzioni di rilievo costituzionale. Gli enti pubblici economici e le società a partecipazione pubblica non sono nell'elenco delle esclusioni, e quindi rientrano.

La norma non prevede soglie: né di fatturato, né di dipendenti, né di forma. Una S.r.l. con cinque dipendenti è soggetta al decreto quanto una società quotata. La dimensione entra in gioco altrove, nella proporzione del modello (art. 7, comma 3) e nella possibilità, per gli enti di piccole dimensioni, di affidare la vigilanza direttamente all'organo dirigente (art. 6, comma 4).

Per i reati commessi all'estero, l'ente con sede principale in Italia risponde nei casi e alle condizioni degli articoli da 7 a 10 del codice penale, purché non proceda lo Stato del luogo del fatto (art. 4).

Legge 231: chi è obbligato

La domanda ha due risposte. Il decreto non obbliga nessun ente ad adottare il modello: gli artt. 6 e 7 ne fanno una condizione per non rispondere, non un dovere sanzionato. L'obbligo può nascere fuori dal decreto. Per le società in controllo pubblico, le Linee guida ANAC approvate con la delibera n. 1134 dell'8 novembre 2017 chiedono di integrare il modello 231 con misure di prevenzione della corruzione ai sensi della L. 190/2012. Altri obblighi possono venire da regole di settore, da requisiti di accreditamento o da clausole contrattuali con committenti che pretendono il modello dai fornitori. Se un obbligo del genere vi riguarda, va verificato sulla fonte specifica.

Come funziona la 231: i criteri di imputazione

Perché l'ente risponda servono tre elementi, tutti necessari.

1. Un reato del catalogo. L'ente risponde solo per i reati per cui una legge entrata in vigore prima del fatto prevede espressamente la sua responsabilità e le relative sanzioni (art. 2). Un reato fuori dall'elenco non coinvolge l'ente, per quanto grave.
2. Un autore legato all'ente. L'art. 5, comma 1, distingue gli apicali (funzioni di rappresentanza, amministrazione o direzione dell'ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale, o gestione e controllo anche di fatto) e i sottoposti alla loro direzione o vigilanza.
3. L'interesse o il vantaggio dell'ente. L'ente non risponde se l'autore ha agito nell'interesse esclusivo proprio o di terzi (art. 5, comma 2).

Per i reati colposi, come l'omicidio e le lesioni colpose in violazione delle norme antinfortunistiche (art. 25-septies), le Sezioni Unite della Cassazione (sentenza 24 aprile 2014, n. 38343, caso ThyssenKrupp) hanno riferito interesse e vantaggio alla condotta e non all'evento: l'ente risponde quando la violazione della regola cautelare ha prodotto, per esempio, un risparmio di costi o di tempi.

Apicali e sottoposti: chi deve provare

Il punto decisivo è l'onere della prova, che cambia secondo l'autore.

Autore del reato	Norma	Quando l'ente non risponde	Chi prova
Apicale	Art. 6 c.1	Modello idoneo adottato e attuato prima del fatto, OdV autonomo, elusione fraudolenta del modello, nessuna vigilanza insufficiente	L'ente
Sottoposto	Art. 7 c.1 e c.2	Il reato non è stato reso possibile dall'inosservanza degli obblighi di direzione o vigilanza; il modello idoneo la esclude	L'accusa

Per l'apicale l'ente deve dimostrare tutte e quattro le condizioni dell'art. 6, comma 1, ed è la lettera c a far cadere la maggior parte delle difese: se l'amministratore ha potuto commettere il reato senza aggirare alcun controllo, il modello non era idoneo. Per il sottoposto, l'art. 7 costruisce una colpa di vigilanza; il comma 2 la esclude se il modello idoneo era adottato ed efficacemente attuato prima del fatto.

L'ente risponde anche senza il colpevole

La responsabilità dell'ente è autonoma. Sussiste anche quando l'autore del reato non è stato identificato o non è imputabile, e quando il reato si estingue per una causa diversa dall'amnistia (art. 8). In un'impresa con processi frammentati può accadere che si accerti il reato senza individuare chi lo ha commesso: l'ente risponde lo stesso.

Il tentativo conta. Se il delitto resta tentato, le sanzioni pecuniarie e interdittive sono ridotte da un terzo alla metà, e l'ente non risponde se impedisce volontariamente il compimento dell'azione o la realizzazione dell'evento (art. 26).

Quali reati fanno scattare la 231

Il catalogo comincia all'art. 24 e, al 19 ottobre 2026, arriva all'art. 25-vicies. Cresce per aggiunte successive, quasi sempre dentro leggi che riguardano altro, ed è la parte del decreto che invecchia più in fretta. Le famiglie principali:

Articolo	Famiglia di reati
24, 25	Reati contro la pubblica amministrazione: truffa allo Stato, malversazione, peculato, corruzione, concussione, traffico di influenze
24-bis	Delitti informatici e trattamento illecito di dati
24-ter, 25-quater	Criminalità organizzata, terrorismo
25-ter	Reati societari, compresa la corruzione tra privati
25-quinquies, 25-duodecies	Delitti contro la personalità individuale (anche l'intermediazione illecita e lo sfruttamento del lavoro), impiego di stranieri irregolari
25-septies	Omicidio colposo e lesioni colpose gravi o gravissime per violazione delle norme di sicurezza sul lavoro
25-octies, 25-octies.1	Ricettazione, riciclaggio, autoriciclaggio, frodi su strumenti di pagamento diversi dai contanti
25-octies.2	Violazione delle misure restrittive dell'Unione europea
25-undecies	Reati ambientali
25-quinquiesdecies, 25-sexiesdecies	Reati tributari, contrabbando
25-undevicies	Delitti contro gli animali
25-vicies	Reati commessi con l'uso di sistemi di intelligenza artificiale

Fuori dal decreto, l'art. 10 della L. 146/2006 estende la responsabilità ad alcuni reati transnazionali.

Gli ultimi interventi mostrano il ritmo. Nel 2024 l'art. 25 ha acquisito l'indebita destinazione di denaro o cose mobili (art. 314-bis c.p., introdotto dal D.L. 92/2024 convertito dalla L. 112/2024) e ha perso l'abuso d'ufficio, abrogato dalla L. 114/2024. Il D.Lgs 30 dicembre 2025, n. 211, in vigore dal 24 gennaio 2026, ha introdotto l'art. 25-octies.2 sulle misure restrittive UE e, all'art. 10, comma 3-bis, la sanzione calcolata in percentuale del fatturato globale nei casi previsti dalla legge. La L. 82/2025 ha aggiunto i delitti contro gli animali dal 1° luglio 2025. Il D.Lgs 9 settembre 2026, n. 160, di adeguamento al regolamento (UE) 2024/1689 sull'intelligenza artificiale, ha introdotto l'art. 25-vicies, in vigore dal 30 settembre 2026: per il delitto dell'art. 437-bis c.p. la sanzione va da 600 a 1.000 quote, per quello dell'art. 612-quater c.p. da 200 a 700 quote, con le interdittive dell'art. 9, comma 2, lettere da b a e.

Quali sanzioni prevede il decreto

La sanzione pecuniaria si applica sempre (art. 10): per quote, in numero non inferiore a cento né superiore a mille, ciascuna di valore compreso fra 500.000 e 3.000.000 di lire, cioè fra 258,23 e 1.549,37 euro (comma 3). Il giudice fissa il numero delle quote secondo la gravità del fatto, il grado di responsabilità dell'ente e le condotte riparatorie, e il valore della quota secondo le condizioni economiche e patrimoniali dell'ente, per assicurare l'efficacia della sanzione (art. 11). Non è ammesso il pagamento in misura ridotta (art. 10, comma 4).

Le sanzioni interdittive (interdizione dall'attività, sospensione o revoca di autorizzazioni e licenze, divieto di contrattare con la pubblica amministrazione, esclusione da finanziamenti e contributi, divieto di pubblicizzare beni o servizi) si applicano solo per i reati per cui sono espressamente previste e solo se l'ente ha tratto dal reato un profitto di rilevante entità, con reato di un apicale o di un sottoposto agevolato da gravi carenze organizzative, oppure in caso di reiterazione (art. 13, comma 1). Durano da tre mesi a due anni, salvo le eccezioni dell'art. 25, comma 5, e dell'art. 25-octies.2 (comma 2).

Possono arrivare prima della sentenza. Il pubblico ministero può chiederle come misura cautelare se ci sono gravi indizi di responsabilità dell'ente e fondati e specifici elementi che fanno ritenere concreto il pericolo di nuovi illeciti della stessa indole (art. 45). La confisca del profitto è sempre disposta, anche quando il modello esclude la responsabilità (art. 6, comma 5). Le sanzioni si prescrivono in cinque anni dalla consumazione del reato, ma la contestazione dell'illecito sospende il decorso fino al passaggio in giudicato della sentenza (art. 22).

Quale sanzione si applica in un caso concreto, e in che misura, dipende dal reato e dai criteri degli artt. 11 e seguenti: per una valutazione serve il professionista che assiste l'ente.

Il modello 231 e il ruolo dell'OdV

Il decreto non dice come si scrive il modello, ma ne fissa i contenuti minimi: individuare le attività a rischio, prevedere protocolli per le decisioni, regolare la gestione delle risorse finanziarie, prevedere flussi informativi verso l'organismo di vigilanza, introdurre un sistema disciplinare (art. 6, comma 2), con i canali di segnalazione interna e il divieto di ritorsione del D.Lgs 24/2023 (comma 2-bis). L'efficace attuazione richiede una verifica periodica e la modifica dopo violazioni significative o cambiamenti nell'organizzazione e nell'attività (art. 7, comma 4).

Il modello conta anche dopo il reato. Adottato e reso operativo prima dell'apertura del dibattimento di primo grado, riduce la sanzione pecuniaria da un terzo alla metà (art. 12, comma 2, lettera b) e, con le altre condotte riparatorie dell'art. 17, evita le interdittive.

La vigilanza spetta all'organismo con autonomi poteri di iniziativa e di controllo (art. 6, comma 1, lettera b), che può essere sostituito dall'organo dirigente negli enti di piccole dimensioni (comma 4) e dal collegio sindacale, dal consiglio di sorveglianza o dal comitato per il controllo della gestione nelle società di capitali (comma 4-bis). La prova della vigilanza sta nei suoi atti, a partire dalla relazione annuale dell'OdV. Per i reati di sicurezza sul lavoro, i contenuti del modello sono precisati dall'art. 30 del D.Lgs 81/2008, e gli adempimenti collegati sono raccolti nella pagina sulla sicurezza sul lavoro.

La riforma del 2026: cosa cambia e cosa no

Il 4 agosto 2026 il Consiglio dei ministri ha approvato un disegno di legge di revisione del decreto. Secondo i commenti pubblicati, il testo mette al centro la colpa di organizzazione: l'ente risponderebbe quando il reato è stato determinato o agevolato dalla mancata adozione o dall'inefficace attuazione di un modello idoneo, superando la distinzione fra apicali e sottoposti e l'onere della prova a carico dell'ente. Il disegno di legge contiene anche una delega al Governo per rivedere sanzioni e catalogo.

Al 19 ottobre 2026 non è legge: deve passare dal Parlamento e può cambiare. Fino ad allora si applicano gli articoli citati in questa guida, nel testo vigente su Normattiva. Qualunque sia l'esito, il modello resta il punto su cui si decide la responsabilità.

Cosa fare in pratica

Il catalogo dei reati è la parte del decreto che si muove di più, ed è la parte che il modello di un ente insegue. Nel catalogo Legisboard i due controlli che lo seguono sono distinti.

La mappatura dei rischi ha nel catalogo una cadenza annuale, l'aggiornamento per nuovi reati è legato all'evento. Nessuna delle due cadenze è un termine di legge: l'art. 7, comma 4, chiede una verifica periodica, la cui frequenza la fissa il modello, e una modifica quando cambiano l'organizzazione o l'attività. Un reato presupposto nuovo che riguarda l'ente è un evento di questo tipo.

1. Leggete il catalogo vigente sugli articoli 24-25-vicies di Normattiva, non su un elenco di seconda mano: le ultime modifiche risalgono al 30 settembre 2026.
2. Confrontatelo con la mappatura dei rischi dell'ente, famiglia per famiglia, e motivate per iscritto le esclusioni.
3. Portate le modifiche all'organo dirigente: l'OdV propone, ma adottare e aggiornare il modello spetta all'organo dirigente (art. 6, comma 1, lettera a).
4. Verbalizzate ogni passaggio: l'efficace attuazione si prova con le date dei documenti.

Le cadenze di tutti gli adempimenti 231 sono raccolte nella pagina sugli adempimenti 231. Per i casi con procedimenti in corso, o con rapporti rilevanti con la pubblica amministrazione, serve il parere del professionista che assiste l'ente.