Il modello 231 spiegato semplice: cosa insegna la sentenza sulla colpa di organizzazione mai verificata
Cass. pen., Sez. III, 10 aprile 2026 (dep. 2 luglio 2026), n. 24402
Una recente sentenza della Cassazione offre lo spunto per fare chiarezza, in modo semplice, su come funziona davvero la responsabilità amministrativa degli enti prevista dal D.Lgs. 231/2001. Non useremo questo articolo per un commento tecnico alla decisione — quello lo trovate nel nostro carosello social — ma per spiegare, partendo da un caso concreto, i meccanismi di base che ogni imprenditore, amministratore o professionista dovrebbe conoscere: cos'è il "modello 231", perché esiste, e cosa cambia se il reato lo commette un dirigente oppure un dipendente.
Il caso, in breve
Un lavoratore si infortuna a una mano mentre pulisce il rullo di un macchinario privo di adeguate protezioni. Il datore di lavoro viene condannato per lesioni colpose; la società, in base al D.Lgs. 231/2001, viene ritenuta responsabile dell'illecito amministrativo collegato a quel reato.
La società impugna la decisione fino in Cassazione, sostenendo che i giudici di merito avevano sbagliato su un punto preciso: avevano affermato che la carenza di sicurezza "conveniva" all'azienda, in termini di maggiore velocità di produzione, senza però verificarlo davvero — e ignorando una perizia tecnica di parte che dimostrava il contrario.
La Cassazione dà ragione alla società: non basta affermare che un fatto convenga all'impresa, occorre dimostrarlo. E soprattutto, i giudici di merito non avevano mai verificato un secondo elemento, altrettanto necessario: se l'azienda avesse davvero omesso le cautele organizzative in grado di prevenire quel tipo di reato.
La sentenza è stata annullata e il caso è tornato in appello. Per capire perché questi due elementi — l'interesse economico e le cautele organizzative — siano così importanti, serve fare un passo indietro e spiegare come funziona, in generale, il sistema della responsabilità degli enti.
Perché esiste il D.Lgs. 231/2001
Fino al 2001, in Italia valeva un principio antico: le società non commettono reati, li commettono le persone fisiche che agiscono per loro. Se un amministratore delegato falsificava un bilancio o un direttore di stabilimento violava le norme sulla sicurezza, a rispondere penalmente era solo lui — mai la società, per quanto ne avesse tratto vantaggio.
Il D.Lgs. 231/2001 ha cambiato questa impostazione, introducendo una responsabilità amministrativa degli enti (società, associazioni, anche enti privi di personalità giuridica) collegata alla commissione di determinati reati — i cosiddetti "reati presupposto" — da parte di chi opera al loro interno. Non si tratta di responsabilità penale in senso stretto, ma le conseguenze sono severe: sanzioni pecuniarie molto elevate, e nei casi più gravi sanzioni interdittive come il divieto di contrattare con la pubblica amministrazione, la sospensione di licenze e autorizzazioni, persino il commissariamento dell'attività.
L'elenco dei reati presupposto si è ampliato molto nel tempo: si va dai reati contro la pubblica amministrazione (corruzione, concussione) ai reati societari, dai reati di omicidio colposo e lesioni colpose commessi con violazione delle norme sulla sicurezza sul lavoro — come nel caso appena visto — fino ai reati ambientali, informatici, tributari e ad altri ancora.
Come si costruisce la responsabilità dell'ente: tre elementi oggettivi
Perché una società possa essere ritenuta responsabile, non basta che qualcuno al suo interno abbia commesso un reato. Serve che si verifichino, tutti insieme, tre presupposti sul piano oggettivo.
un reato-presupposto, effettivamente commesso, in tutti i suoi elementi;
un rapporto qualificato tra chi lo ha commesso e l'ente — deve trattarsi di chi opera per l'ente, a qualunque livello, non di un estraneo;
un interesse o un vantaggio per l'ente — il reato deve essere stato commesso, almeno in parte, per portare un beneficio alla società, non per finalità personali ed estranee agli scopi di questa.
Quest'ultimo requisito è centrale, ed è proprio quello su cui si è concentrata la sentenza da cui siamo partiti. Non basta che la società abbia tratto un vantaggio di fatto — occorre dimostrare che quel vantaggio fosse concretamente perseguito, con prove specifiche, non con affermazioni generiche. Se manca anche solo uno di questi tre elementi, l'ente non può essere ritenuto responsabile.
L'elemento soggettivo: la colpa di organizzazione
Ai tre elementi oggettivi se ne aggiunge un quarto, di natura diversa: la cosiddetta colpa di organizzazione. È qui che il sistema 231 diventa davvero interessante, perché sposta l'attenzione dal comportamento del singolo dipendente a quello dell'azienda come organizzazione.
La domanda a cui bisogna rispondere è: l'ente aveva adottato le misure organizzative e di controllo necessarie a prevenire reati di quel tipo? Se la risposta è sì — se cioè esisteva un modello organizzativo adeguato, effettivamente applicato — la responsabilità dell'ente viene meno, anche se il reato è stato comunque commesso da una singola persona. Se la risposta è no, la colpa di organizzazione è integrata, e si aggiunge agli altri elementi come fondamento autonomo della responsabilità.
È un errore comune pensare che basti provare l'interesse economico per condannare una società: come ha ricordato la Cassazione, i due profili — l'interesse/vantaggio da un lato, la colpa di organizzazione dall'altro — vanno accertati separatamente, ciascuno con le proprie prove. Un giudice non può "dare per scontata" la colpa organizzativa solo perché ha ritenuto provato l'interesse economico, né viceversa.
Gli articoli 6 e 7: due strade diverse a seconda di chi commette il reato
Il D.Lgs. 231/2001 tratta diversamente la colpa di organizzazione a seconda della posizione, all'interno dell'azienda, di chi ha commesso il reato. Le due norme di riferimento sono gli articoli 6 e 7.
Articolo 6 — se il reato lo commette un apicale
Si parla di "soggetti apicali" per indicare chi rappresenta, amministra o dirige l'ente (o una sua unità dotata di autonomia), oltre a chi ne esercita, anche di fatto, la gestione e il controllo: amministratori, direttori generali, responsabili di stabilimento con poteri autonomi.
Quando il reato è commesso da una di queste figure, la legge introduce una sorta di presunzione a sfavore dell'ente: si presume che l'apicale abbia agito nell'interesse della società, proprio perché ne esprime la volontà. Per evitare la responsabilità, è l'ente stesso a dover dimostrare, con onere della prova a proprio carico, che:
aveva adottato ed efficacemente attuato, prima della commissione del fatto, un modello di organizzazione e gestione idoneo a prevenire reati di quel tipo;
aveva affidato il compito di vigilare sul funzionamento e l'osservanza del modello a un organismo dell'ente dotato di autonomi poteri di iniziativa e controllo (il cosiddetto Organismo di Vigilanza, o OdV);
le persone hanno commesso il reato eludendo fraudolentemente il modello organizzativo;
non vi è stata omessa o insufficiente vigilanza da parte dell'organismo di controllo.
Sono quattro condizioni cumulative: l'ente deve provarle tutte per andare esente da responsabilità. È una prova difficile, proprio perché la legge parte dal presupposto che l'apicale, per definizione, incarna l'ente stesso.
Articolo 7 — se il reato lo commette un sottoposto
Diverso è il caso in cui il reato venga commesso da un dipendente sottoposto alla direzione o alla vigilanza di un apicale — un operaio, un impiegato, un collaboratore privo di poteri autonomi di rappresentanza o gestione.
In questo caso l'impianto si ribalta: è l'accusa a dover dimostrare che l'ente non ha rispettato gli obblighi di direzione e vigilanza, e questo non avviene se, prima della commissione del fatto, l'ente aveva adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quello verificatosi, tenendo conto della natura e delle dimensioni dell'organizzazione, oltre che del tipo di attività svolta.
La differenza pratica è significativa: nel caso dell'apicale l'ente parte "in salita", dovendo dimostrare quattro condizioni; nel caso del sottoposto è l'accusa a dover provare la mancanza di adeguata organizzazione e vigilanza. In entrambi i casi, però, il cuore della questione resta lo stesso: l'esistenza, e soprattutto l'effettiva attuazione, di un modello organizzativo idoneo.
Il modello organizzativo: cosa significa, in pratica
Il "modello di organizzazione, gestione e controllo" (spesso abbreviato in MOG) non è un documento da tenere in un cassetto per esibirlo in caso di controllo. Per essere davvero efficace — e per proteggere l'azienda in un eventuale processo — deve tradursi in una serie di elementi concreti:
una mappatura dei rischi-reato specifica per quell'azienda: quali reati presupposto sono realisticamente ipotizzabili, in quali aree e attività dell'organizzazione;
protocolli e procedure operative pensati per prevenire quei rischi, non genericamente copiati da modelli altrui;
un codice etico che definisca i principi di comportamento richiesti a chi opera per l'ente;
un sistema disciplinare capace di sanzionare concretamente le violazioni del modello;
un organismo di vigilanza autonomo, dotato di risorse e poteri reali di controllo, non solo sulla carta;
un aggiornamento periodico del modello, che tenga conto dei cambiamenti normativi, organizzativi e dell'esperienza concreta dell'azienda.
Un modello adottato ma mai davvero applicato, o applicato solo formalmente, non protegge l'ente: è proprio l'"effettiva attuazione", non la sola adozione sulla carta, il requisito richiesto dalla legge e verificato dai giudici.
La lezione pratica
Tornando al punto di partenza: la sentenza da cui siamo partiti ricorda a tutti — giudici, difensori, imprenditori — che i due pilastri della responsabilità dell'ente non si presumono a vicenda. Non basta che un'azienda abbia tratto un vantaggio, reale o presunto, da una condotta illecita: bisogna dimostrarlo con elementi concreti. E non basta nemmeno accertare quel vantaggio per considerare automaticamente sussistente la colpa di organizzazione: va verificata a parte, chiedendosi se l'ente avesse davvero fatto quanto ragionevolmente esigibile per prevenire un fatto di quel tipo.
Per le imprese, il messaggio pratico è altrettanto chiaro: un modello organizzativo costruito su misura, effettivamente applicato e periodicamente aggiornato, resta lo strumento più efficace — non solo per prevenire i reati, ma anche per difendersi, con basi solide, se un reato dovesse comunque verificarsi.
Penale d'Impresa — Avv. Roberta Bello, Avv. Norberto Salza
Colpa di organizzazione · D.Lgs. 231/2001 · Diritto penale d'impresa
Commenti