Riforma del D.Lgs. 231/2001: cosa cambia per imprese, Modelli 231 e sistemi di gestione
A oltre venticinque anni dalla sua introduzione, il D.Lgs. 231/2001 potrebbe essere interessato da una delle revisioni più significative della sua storia.
Il 4 agosto 2026 il Consiglio dei Ministri ha approvato un disegno di legge per la revisione della disciplina sulla responsabilità amministrativa degli enti, intervenendo su alcuni dei principi centrali del sistema: criteri di attribuzione della responsabilità, ruolo dei Modelli di Organizzazione, Gestione e Controllo, valutazione della loro adeguatezza, condotte riparatorie, disciplina applicabile alle PMI e alcuni aspetti del procedimento.
È però necessaria una precisazione fondamentale: la riforma non è ancora in vigore. Il D.Lgs. 231/2001 continua quindi ad applicarsi nella sua formulazione attuale e il testo approvato dal Governo dovrà completare l’iter legislativo, durante il quale potrà essere modificato.
La direzione intrapresa è comunque interessante perché sembra spostare ancora di più l’attenzione dalla semplice esistenza formale di un Modello 231 alla reale capacità dell’organizzazione di prevenire i reati attraverso processi, responsabilità e controlli effettivamente applicati.
La “colpa di organizzazione” diventa centrale
Uno degli elementi più rilevanti della proposta riguarda la cosiddetta colpa di organizzazione.
La responsabilità dell’ente verrebbe ricondotta con maggiore chiarezza all'esistenza di una concreta carenza organizzativa collegata alla commissione del reato.
La riforma punta inoltre a superare, per quanto riguarda i criteri di imputazione, l'attuale differenziazione tra il reato commesso da un soggetto in posizione apicale e quello commesso da un soggetto sottoposto alla direzione o vigilanza altrui.
Questo non significa introdurre improvvisamente un principio totalmente estraneo all’attuale sistema. La centralità della colpa di organizzazione è già emersa attraverso l’elaborazione dottrinale e giurisprudenziale; la riforma avrebbe però l'effetto di attribuirle una collocazione normativa molto più esplicita. Anche l’Unione delle Camere Penali ha evidenziato come questo passaggio tenda a recepire sul piano legislativo principi già consolidatisi nella giurisprudenza.
Per le imprese il messaggio è importante: non sarà sufficiente dimostrare di possedere un Modello 231. Occorrerà dimostrare di avere un’organizzazione capace di prevenire concretamente i rischi individuati.
Il Modello 231 deve essere effettivo, non semplicemente adottato
La proposta rafforza quindi il ruolo del Modello di Organizzazione, Gestione e Controllo.
La valutazione dovrebbe concentrarsi sia sulla sua idoneità a prevenire i reati rilevanti sia sulla sua efficace attuazione.
Assumono quindi ancora maggiore importanza elementi quali:
- analisi dei rischi e mappatura dei processi;
- protocolli e procedure;
- definizione di ruoli, responsabilità e poteri;
- sistemi di controllo;
- flussi informativi verso l’Organismo di Vigilanza;
- formazione e consapevolezza;
- sistema disciplinare;
- verifiche periodiche;
- aggiornamento del Modello a seguito di modifiche normative, organizzative o significative violazioni.
Il disegno di legge prevede infatti che il Modello venga sottoposto a verifica periodica e aggiornato in presenza di significative violazioni oppure di cambiamenti normativi e rilevanti variazioni dell'organizzazione o dell'attività aziendale.
È un principio apparentemente semplice, ma con conseguenze importanti: un Modello 231 non dovrebbe essere un documento da predisporre, approvare e archiviare, ma un sistema da mantenere vivo nel tempo.
Più certezza nella valutazione dell'adeguatezza dei Modelli
Un'altra novità significativa riguarda i criteri con cui valutare l'adeguatezza del Modello.
Il progetto prevede che il giudice tenga conto, tra gli altri elementi, delle linee guida elaborate dalle associazioni rappresentative degli enti, delle procedure semplificate previste per le PMI, delle norme riconosciute dalla comunità tecnico-scientifica e delle buone prassi.
Per i Modelli costruiti in conformità alle linee guida delle associazioni rappresentative viene inoltre prevista una presunzione di adeguatezza, che potrebbe comunque essere superata dal giudice attraverso un'adeguata motivazione.
Si tratta di un passaggio particolarmente interessante perché potrebbe ridurre, almeno in parte, quell'area di incertezza che da sempre caratterizza la domanda fondamentale del sistema 231:quando possiamo considerare un Modello realmente adeguato?
D.Lgs. 231 e sistemi ISO: un rapporto destinato a diventare ancora più stretto
Uno dei punti che riteniamo più interessanti riguarda il rapporto tra Modello 231 e sistemi di gestione aziendale.
La proposta interviene infatti anche sull'art. 30 del D.Lgs. 81/2008 in materia di salute e sicurezza sul lavoro, valorizzando i modelli organizzativi costruiti sulla base della normativa UNI ISO.
Il riferimento assume particolare rilievo considerando l'attuale UNI EN ISO 45001:2023+A1:2024, standard per i sistemi di gestione della salute e sicurezza sul lavoro.
È però opportuno evitare una semplificazione: possedere una certificazione ISO non significa automaticamente possedere un Modello 231 completo e idoneo per tutti i reati presupposto.
Un sistema ISO e un Modello 231 hanno finalità e perimetri differenti.
Esiste tuttavia una sovrapposizione molto significativa sul piano organizzativo: analisi del contesto e dei rischi, processi, responsabilità, procedure, controlli, gestione delle competenze, audit, monitoraggio, non conformità, azioni correttive e riesame costituiscono infrastrutture organizzative che, se correttamente progettate, possono essere utilizzate anche ai fini della compliance 231.Ed è probabilmente proprio questa integrazione uno degli aspetti sui quali le imprese dovrebbero concentrarsi.ISO 9001, ISO 14001, ISO 45001, ISO 27001 e Modello 231: evitare sistemi paralleliUn'organizzazione che possiede già sistemi di gestione certificati non dovrebbe costruire il proprio Modello 231 come un sistema separato.Al contrario, dovrebbe partire da quanto già esiste.Un sistema ISO 9001 può fornire una struttura consolidata per processi, responsabilità, controllo delle informazioni documentate, audit e azioni correttive.Un sistema ISO 14001 può costituire una parte importante dei presidi organizzativi relativi ai reati ambientali.La ISO 45001 può supportare l'organizzazione e il controllo dei rischi connessi alla salute e sicurezza sul lavoro.Una ISO/IEC 27001 può fornire presidi strutturati per la sicurezza delle informazioni, la gestione degli accessi, degli asset, degli incidenti e dei fornitori.Analogamente, sistemi ISO 37001, procedure whistleblowing, privacy, cybersecurity e altri framework di compliance possono diventare componenti di un unico assetto di governance.Il vero obiettivo dovrebbe quindi essere integrare i diversi sistemi evitando duplicazioni, procedure parallele e controlli che esistono soltanto sulla carta.Procedure semplificate per le PMILa riforma dedica particolare attenzione anche alle piccole e medie imprese.È prevista l'elaborazione di procedure semplificate per l'adozione e l'efficace attuazione dei Modelli 231, con l'obiettivo di rendere il sistema proporzionato alla dimensione, alla struttura e alla complessità effettiva dell'organizzazione.Il principio è importante.“Semplificato”, però, non dovrebbe significare “ridotto a qualche documento standard”.Significa piuttosto costruire un sistema proporzionato al rischio reale dell'impresa, evitando di applicare a una PMI la stessa architettura organizzativa utilizzata per una multinazionale, ma mantenendo comunque effettivi i presidi necessari.Anche le condotte successive al reato assumerebbero maggiore importanzaIl disegno di legge attribuisce inoltre maggiore rilievo alle condotte riparatorie poste in essere successivamente al fatto.La rimozione delle carenze organizzative contestate potrebbe, in determinate condizioni, incidere sull'illecito dell'ente. Specifiche disposizioni sono previste anche per alcuni reati ambientali e tributari.Anche questo elemento conferma il cambio di prospettiva: l'attenzione non è rivolta soltanto al documento denominato “Modello 231”, ma alla capacità concreta dell'organizzazione di individuare una carenza, correggerla e impedire che possa ripetersi.Una logica che presenta evidenti analogie con i sistemi di gestione basati sul miglioramento continuo.Cosa dovrebbero fare oggi le aziende?Non è necessario modificare precipitosamente i Modelli 231 sulla base di disposizioni che non sono ancora entrate in vigore.
È invece opportuno utilizzare questa fase per verificare la maturità reale del proprio sistema di compliance.
Le organizzazioni potrebbero già interrogarsi su alcuni aspetti fondamentali:
Il Modello rappresenta ancora correttamente l'organizzazione?
La mappatura dei rischi è aggiornata?
Le procedure descritte nel Modello corrispondono realmente alle modalità operative dell'azienda?
I controlli previsti lasciano evidenze?
I flussi verso l'Organismo di Vigilanza funzionano?
Le modifiche organizzative vengono intercettate?
I sistemi ISO e il Modello 231 comunicano tra loro oppure funzionano come strutture indipendenti?
Le non conformità, le segnalazioni e gli incidenti generano un'effettiva revisione dei rischi e dei presidi?
Sono queste le domande che consentono di distinguere un Modello formalmente corretto da un sistema organizzativo realmente efficace.
Dalla compliance documentale alla governance integrata
La direzione indicata dalla riforma appare quindi chiara: dare maggiore rilevanza alla qualità dell'organizzazione.
Se il testo conserverà questa impostazione dopo il passaggio parlamentare, per molte imprese sarà sempre meno razionale gestire separatamente Modello 231, sistemi ISO, sicurezza, ambiente, cybersecurity, privacy, whistleblowing e altri strumenti di compliance.
La vera opportunità sarà costruire una governance integrata, nella quale rischi, processi, responsabilità, controlli, audit e azioni correttive vengano gestiti attraverso una struttura coerente.
Non più, quindi, una raccolta di documenti predisposti per rispondere a singoli obblighi normativi.
Ma un sistema organizzativo capace di dimostrare come l'impresa governa realmente i propri rischi.Ed è forse questo l'aspetto più interessante della futura riforma del D.Lgs. 231/2001: il Modello organizzativo potrebbe assumere sempre meno il ruolo di “documento difensivo” e sempre più quello di strumento concreto di governo dell'impresa.
Nota
Il presente approfondimento fa riferimento al disegno di legge approvato dal Consiglio dei Ministri il 4 agosto 2026. Alla data del 10 settembre 2026 le modifiche descritte non sono vigenti e il testo potrà subire variazioni durante l'iter legislativo.
