Modello 231: cos'è, cosa contiene e a cosa serve

Il modello 231 è il modello di organizzazione, gestione e controllo previsto dagli artt. 6 e 7 del D.Lgs 231/2001: l'insieme di regole, protocolli e controlli con cui un ente si organizza per prevenire i reati che possono farlo rispondere in proprio. Se il reato è commesso da un apicale, l'ente non risponde se prova che l'organo dirigente ha adottato ed efficacemente attuato il modello prima del fatto, che un organismo autonomo vigilava, che l'autore lo ha eluso fraudolentemente e che la vigilanza non è mancata (art. 6, comma 1). Se il reato è commesso da un sottoposto, il modello idoneo adottato prima del fatto esclude l'inosservanza degli obblighi di direzione o vigilanza (art. 7, comma 2).

Il contenuto minimo lo fissa l'art. 6, comma 2: individuare le attività a rischio, prevedere protocolli sulle decisioni, regolare la gestione delle risorse finanziarie, prevedere flussi informativi verso l'Organismo di Vigilanza, introdurre un sistema disciplinare. Dal 15 luglio 2023 il comma 2-bis aggiunge i canali di segnalazione interna e il divieto di ritorsione. Nessuna norma impone l'indice del documento: la divisione in parte generale e parte speciale è una prassi, consolidata dalle linee guida delle associazioni di categoria. Il decreto non obbliga l'ente ad adottare il modello; senza modello, però, l'ente non ha l'esimente.

A cosa serve il modello 231

Il D.Lgs 231/2001 rende l'ente responsabile, con sanzioni proprie, per alcuni reati commessi nel suo interesse o a suo vantaggio. L'art. 5, comma 1 individua due categorie di autori: chi riveste funzioni di rappresentanza, amministrazione o direzione, anche di un'unità organizzativa autonoma, o esercita anche di fatto la gestione e il controllo (lettera a); chi è sottoposto alla direzione o alla vigilanza dei primi (lettera b). I reati che contano sono solo quelli elencati negli articoli dal 24 in poi, i cosiddetti reati presupposto.

Il modello opera in due modi diversi secondo l'autore del reato.

• Reato di un apicale. L'onere della prova è dell'ente, che deve dimostrare tutte e quattro le condizioni dell'art. 6, comma 1. La più difficile è la lettera c: l'autore deve aver commesso il reato «eludendo fraudolentemente» il modello. Un modello che l'apicale ha potuto ignorare senza aggirare nulla non regge.
• Reato di un sottoposto. L'art. 7, comma 1 rende l'ente responsabile se il reato è stato reso possibile dall'inosservanza degli obblighi di direzione o vigilanza. Il comma 2 esclude quell'inosservanza se il modello idoneo era stato adottato ed efficacemente attuato prima del fatto.

Due parole della norma decidono quasi tutti i processi: «idonei» ed «efficacemente attuato». Un modello copiato da un altro ente, con aree di rischio che non corrispondono all'attività reale, non è idoneo. Un modello idoneo che nessuno applica, senza verbali di verifica, senza flussi, senza formazione, non è attuato. Il giudice guarda le due cose separatamente, e la seconda si prova solo con documenti.

Il modello conta anche dopo il reato. Se l'ente lo adotta e lo rende operativo prima dell'apertura del dibattimento di primo grado, la sanzione pecuniaria è ridotta da un terzo alla metà (art. 12, comma 2, lettera b). Con il risarcimento del danno e la messa a disposizione del profitto, l'adozione di un modello idoneo evita le sanzioni interdittive (art. 17, comma 1). La confisca del profitto resta disposta comunque (art. 6, comma 5).

Come si compone un modello 231

La legge chiede contenuti, non un formato. L'art. 6, comma 2, li lega «all'estensione dei poteri delegati e al rischio di commissione dei reati», e l'art. 7, comma 3, alla natura e alla dimensione dell'organizzazione e al tipo di attività. Questa è la mappa fra ciò che la legge pretende e il punto del modello in cui di solito si trova.

Che cosa chiede la legge	Fonte	Dove sta nel modello
Individuare le attività in cui possono essere commessi reati	Art. 6 c.2 lett. a	Mappatura dei rischi (risk assessment), parte speciale
Protocolli su formazione e attuazione delle decisioni	Art. 6 c.2 lett. b	Parte speciale, procedure richiamate
Gestione delle risorse finanziarie idonea a impedire i reati	Art. 6 c.2 lett. c	Parte speciale, protocolli su pagamenti e tesoreria
Obblighi di informazione verso l'organismo di vigilanza	Art. 6 c.2 lett. d	Parte generale e allegato sui flussi informativi
Sistema disciplinare per il mancato rispetto del modello	Art. 6 c.2 lett. e	Parte generale o documento autonomo
Canali di segnalazione interna e divieto di ritorsione	Art. 6 c.2-bis	Parte generale, procedura whistleblowing
Organismo con autonomi poteri di iniziativa e di controllo	Art. 6 c.1 lett. b	Parte generale, regolamento dell'OdV
Verifica periodica e modifica dopo violazioni o cambiamenti	Art. 7 c.4 lett. a	Parte generale, regole di aggiornamento

La parte generale

La parte generale descrive l'ente e le regole che valgono per tutti: il quadro del D.Lgs 231/2001, la struttura di governo e il sistema di deleghe e procure, le modalità con cui il modello è stato costruito, la composizione, i requisiti e i poteri dell'OdV, i flussi informativi, il sistema disciplinare, i canali di segnalazione, la formazione e la diffusione del modello, le regole per aggiornarlo. È il documento che il consiglio di amministrazione approva con delibera e che l'ente pubblica, di solito, sul proprio sito.

La parte speciale

La parte speciale è il cuore operativo, ed è la parte che più spesso manca di sostanza. È organizzata per famiglie di reato (reati contro la pubblica amministrazione, societari, tributari, informatici, in materia di sicurezza sul lavoro, ambientali) o per processi aziendali, e per ciascuna indica le attività sensibili, le funzioni coinvolte, i principi di comportamento e i protocolli di controllo: segregazione delle funzioni, autorizzazioni, tracciabilità, poteri di firma. Una parte speciale credibile nasce dalla mappatura dei rischi dell'ente, non da un elenco completo dei reati presupposto: le famiglie che non toccano l'attività si escludono con una motivazione scritta, non si trascrivono.

Codice etico, sistema disciplinare, whistleblowing

Il codice etico non è nominato dal decreto. Le Linee guida di Confindustria per la costruzione dei modelli (edizione di giugno 2021) lo indicano fra le componenti del sistema di controllo preventivo, e quasi tutti i modelli lo allegano. Il sistema disciplinare è invece un requisito di legge (art. 6, comma 2, lettera e; art. 7, comma 4, lettera b): deve indicare quali violazioni del modello sono sanzionate, con quali sanzioni e con quale procedura, coordinandosi con il contratto collettivo per i dipendenti e con clausole specifiche per amministratori e collaboratori. Dal 15 luglio 2023 il comma 2-bis dell'art. 6 rinvia al D.Lgs 24/2023: il modello deve prevedere i canali di segnalazione interna, il divieto di ritorsione e le sanzioni per chi li viola.

Sull'adozione basata sui codici delle associazioni, l'art. 6, comma 3 prevede che i modelli possano essere costruiti sulla base dei codici di comportamento delle associazioni rappresentative, comunicati al Ministero della giustizia. Seguire le linee guida aiuta a impostare il modello, ma non lo rende idoneo in automatico: l'idoneità resta una valutazione del giudice sul modello concreto dell'ente.

Chi sono i destinatari del modello 231

I destinatari sono anzitutto le persone dell'art. 5: amministratori, direttori, responsabili di unità autonome, chi gestisce l'ente anche solo di fatto, e tutti coloro che lavorano sotto la loro direzione o vigilanza. Il modello deve indicarli e prevedere come li raggiunge: comunicazione all'assunzione, formazione differenziata per ruolo e per area di rischio, attestazione di ricezione.

Consulenti, agenti, fornitori e partner non sono vincolati dal modello per il solo fatto che esiste. Diventano destinatari quando il contratto lo prevede, con una clausola che li impegna al rispetto del codice etico o dei principi del modello e che regola le conseguenze della violazione, fino alla risoluzione. Per le attività esternalizzate in aree sensibili (amministrazione, gestione del personale, gare pubbliche) questa clausola è parte dei protocolli, non una formalità.

Quanto agli enti, l'art. 1 applica il decreto agli enti con personalità giuridica e alle società e associazioni anche prive di personalità giuridica; ne esclude lo Stato, gli enti pubblici territoriali, gli altri enti pubblici non economici e gli enti con funzioni di rilievo costituzionale. Una società a responsabilità limitata con dieci dipendenti rientra nel decreto quanto un gruppo quotato: cambia la proporzione del modello, non la sua necessità come strumento di difesa.

Chi vigila sul modello 231

La vigilanza spetta all'Organismo di Vigilanza, un organismo dell'ente «dotato di autonomi poteri di iniziativa e di controllo» a cui sono affidati il compito di vigilare sul funzionamento e sull'osservanza del modello e quello di curarne l'aggiornamento (art. 6, comma 1, lettera b). Può essere monocratico o collegiale, interno, esterno o misto: la legge non lo dice, e la scelta dipende dalla dimensione e dal profilo di rischio dell'ente.

La legge ammette due varianti.

• Enti di piccole dimensioni: i compiti dell'OdV possono essere svolti direttamente dall'organo dirigente (art. 6, comma 4). La norma non definisce la «piccola dimensione», e chi controlla e chi è controllato coincidono: la soluzione va pesata con attenzione.
• Società di capitali: il collegio sindacale, il consiglio di sorveglianza o il comitato per il controllo della gestione possono svolgere le funzioni dell'OdV (art. 6, comma 4-bis).

L'OdV non adotta il modello e non lo modifica: propone. Adottarlo e aggiornarlo resta compito dell'organo dirigente (art. 6, comma 1, lettera a). Il lavoro dell'OdV si documenta con il piano di vigilanza, i verbali, gli audit e la relazione annuale dell'OdV, che è il primo atto chiesto in un procedimento per provare la condizione della lettera d: nessuna omessa o insufficiente vigilanza.

Il modello 231 per la sicurezza sul lavoro

Per l'omicidio colposo e le lesioni colpose gravi o gravissime commessi con violazione delle norme antinfortunistiche (art. 25-septies), il contenuto del modello è fissato in modo più preciso dall'art. 30 del D.Lgs 81/2008. Il modello deve assicurare un sistema aziendale per tutti gli obblighi giuridici elencati al comma 1, dalla valutazione dei rischi alla sorveglianza sanitaria, dalla formazione alle verifiche periodiche dell'efficacia delle procedure; deve prevedere sistemi di registrazione delle attività (comma 2), un'articolazione di funzioni con competenze e poteri adeguati e un sistema disciplinare (comma 3), e un sistema di controllo sull'attuazione e sul mantenimento nel tempo dell'idoneità delle misure (comma 4).

Il comma 5 introduce una presunzione: in sede di prima applicazione, i modelli definiti conformemente alle Linee guida UNI-INAIL per un sistema di gestione della salute e sicurezza del 28 settembre 2001, o alla norma UNI EN ISO 45001:2023+A1:2024, si presumono conformi ai requisiti dell'articolo per le parti corrispondenti. È una presunzione limitata alle parti corrispondenti: un sistema di gestione certificato non sostituisce la parte generale, l'OdV e il sistema disciplinare del modello 231.

Il modello 231 va aggiornato, e quando

Il modello non ha una scadenza. L'art. 7, comma 4, lettera a lega l'efficace attuazione a una verifica periodica e all'eventuale modifica quando sono scoperte significative violazioni delle prescrizioni o intervengono mutamenti nell'organizzazione o nell'attività. Per la sicurezza sul lavoro l'art. 30, comma 4, D.Lgs 81/2008 dice lo stesso: riesame e modifica quando sono scoperte violazioni significative o in occasione di mutamenti nell'organizzazione e nell'attività in relazione al progresso scientifico e tecnologico.

C'è poi un terzo innesco, che la norma non scrive ma che il sistema impone: l'elenco dei reati presupposto cambia spesso, e un reato nuovo che tocca l'attività dell'ente rende il modello non più idoneo per quella specie di reato. Per questo la mappatura dei rischi si rivede quando cambia la legge, non solo quando cambia l'azienda.

La legge non fissa la cadenza della verifica periodica: la fissa il modello. Nel catalogo Legisboard le verifiche del modello sono adempimenti distinti, ciascuno con il suo responsabile e una cadenza di controllo.

Le cadenze del catalogo (annuale per la mappatura, la gap analysis e il sistema disciplinare, semestrale per la verifica dei protocolli della parte speciale) sono cadenze di controllo ragionevoli, non termini di legge. Il termine vero è quello scritto nel vostro modello, più gli inneschi dell'art. 7, comma 4: una violazione significativa o un cambiamento organizzativo impongono la verifica subito, anche se l'ultima risale a due mesi prima.

Che cosa rischia l'ente senza modello

Per l'illecito dipendente da reato si applica sempre la sanzione pecuniaria, per quote in numero non inferiore a cento né superiore a mille (art. 10, commi 1 e 2); il comma 3-bis prevede, nei casi stabiliti dalla legge, una sanzione calcolata in percentuale del fatturato globale. Non è ammesso il pagamento in misura ridotta (comma 4). Accanto alla sanzione pecuniaria l'art. 9 prevede le sanzioni interdittive, la confisca e la pubblicazione della sentenza.

Le interdittive sono quelle che pesano di più sull'attività: l'interdizione dall'esercizio dell'attività, la sospensione o revoca di autorizzazioni, licenze o concessioni, il divieto di contrattare con la pubblica amministrazione, l'esclusione da agevolazioni, finanziamenti e contributi, il divieto di pubblicizzare beni o servizi (art. 9, comma 2). Per un'impresa che lavora con enti pubblici, il divieto di contrattare con la pubblica amministrazione può valere più di qualsiasi sanzione pecuniaria.

Quale sanzione si applica, e in che misura, dipende dal reato presupposto e dai criteri degli articoli 11 e seguenti. Per la valutazione di un caso concreto serve il parere del professionista che assiste l'ente.

La riforma in discussione

Nell'agosto 2026 il Consiglio dei ministri ha approvato un disegno di legge di revisione del D.Lgs 231/2001. Secondo i commenti pubblicati, il testo supera la distinzione fra reati degli apicali e dei sottoposti e costruisce la responsabilità attorno alla colpa di organizzazione, cioè attorno al modello. È un disegno di legge, non una norma in vigore: deve passare dal Parlamento e può cambiare. Fino ad allora valgono gli articoli 5, 6 e 7 nel testo citato in questa guida. Qualunque sia l'esito, il modello resta lo strumento con cui l'ente dimostra di essersi organizzato.

Cosa fare in pratica

Per un ente che deve adottare il modello, o rivedere quello che ha, l'ordine dei passi conta.

1. Partite dalla mappatura dei rischi, non dal documento. Intervistate i responsabili dei processi, leggete deleghe e procure, individuate le attività in cui i reati presupposto sono possibili (art. 6, comma 2, lettera a) e motivate per iscritto le esclusioni.
2. Confrontate i protocolli esistenti con quelli necessari. Molte procedure ci sono già (acquisti, pagamenti, sicurezza): la gap analysis dice cosa manca, e la parte speciale richiama le procedure invece di riscriverle.
3. Nominate l'OdV con una delibera che ne fissi composizione, requisiti, budget e durata, e approvate il modello in consiglio. Senza delibera dell'organo dirigente non c'è adozione.
4. Rendete il modello operativo: formazione per ruolo, flussi informativi con scadenze e responsabili, canale di segnalazione attivo, clausole nei contratti con i terzi.
5. Scrivete nel modello la cadenza delle verifiche e rispettatela, con verbali. È ciò che proverà l'efficace attuazione.

Le cadenze di tutti gli adempimenti 231, dalla nomina dell'OdV ai flussi informativi agli audit, sono raccolte nella pagina sugli adempimenti 231. Sulla costruzione del modello di un ente specifico, e in particolare quando ci sono procedimenti in corso o rapporti rilevanti con la pubblica amministrazione, serve il parere del professionista che assiste l'ente.