Quando un amministratore, un dirigente o un dipendente viene coinvolto in un procedimento penale per un fatto commesso nell’ambito dell’attività aziendale, la prima reazione è spesso quella di considerare il problema come personale: il reato riguarda chi lo ha materialmente commesso.
Il d.lgs. n. 231 del 2001 ha modificato profondamente questa prospettiva.
In presenza di determinati presupposti, accanto alla responsabilità della persona fisica può infatti sorgere una responsabilità autonoma della società o dell’ente, accertata dal giudice penale e accompagnata da un sistema sanzionatorio capace di incidere direttamente sul patrimonio e, nei casi più gravi, sulla stessa operatività dell’impresa.
Questo non significa, però, che ogni reato commesso all’interno di un’azienda diventi automaticamente un illecito dell’ente.
Ed è proprio qui che si colloca uno degli equivoci più frequenti sulla cosiddetta “responsabilità 231”.
Il reato della persona fisica non basta
Il sistema introdotto dal d.lgs. n. 231/2001 non costruisce una responsabilità oggettiva dell’impresa per ciò che fanno amministratori e dipendenti.
Perché possa sorgere la responsabilità dell’ente devono essere verificati diversi elementi.
Anzitutto, il fatto contestato alla persona fisica deve appartenere al catalogo dei reati presupposto individuati dal decreto e dalle successive modifiche legislative.
Deve poi essere stato commesso da un soggetto che abbia uno specifico rapporto con l’organizzazione: una persona che eserciti funzioni di rappresentanza, amministrazione o direzione dell’ente o di una sua unità dotata di autonomia finanziaria e funzionale, oppure una persona sottoposta alla direzione o vigilanza di uno di tali soggetti.
Ma neppure questo è sufficiente.
L’art. 5 del decreto richiede che il reato sia stato commesso nell’interesse o a vantaggio dell’ente.
E la giurisprudenza più recente ha nuovamente chiarito che anche questo requisito deve essere provato concretamente.
Interesse e vantaggio: non basta dire che il reato è avvenuto “per l’azienda”
Con la sentenza n. 5923 del 12 febbraio 2026, la Seconda Sezione penale della Corte di cassazione ha ribadito la distinzione tra interesse e vantaggio.
L’interesse guarda alla finalità della condotta e deve essere valutato al momento in cui il reato viene commesso: occorre cioè verificare se l’azione fosse orientata a procurare un’utilità all’ente.
Il vantaggio ha invece natura essenzialmente oggettiva e può essere valutato successivamente, sulla base degli effetti concretamente prodotti dal fatto.
La Cassazione ha soprattutto escluso che questi elementi possano essere ricavati attraverso considerazioni generiche sulla natura dell’impresa o sul contesto nel quale il fatto è avvenuto. Il collegamento tra reato ed ente deve essere specificamente dimostrato.
La distinzione assume particolare importanza nei reati colposi, come quelli relativi alla sicurezza sul lavoro.
In questi casi sarebbe evidentemente irragionevole sostenere che un infortunio o una lesione costituiscano, in quanto tali, un interesse dell’impresa.
Il giudizio si sposta allora sulla condotta che ha preceduto l’evento: può assumere rilievo, ad esempio, una scelta organizzativa diretta a ridurre costi, evitare interruzioni produttive o risparmiare risorse attraverso la sistematica inosservanza delle cautele dovute.
È precisamente su questo terreno che il problema della responsabilità 231 diventa un problema di organizzazione dell’impresa.
La “colpa di organizzazione” è il vero punto centrale
Le pronunce della Cassazione del 2026 stanno insistendo con particolare nettezza su questo profilo.
Con le sentenze n. 8397 del 4 marzo 2026 e n. 18643 del 23 maggio 2026, la Quarta Sezione penale ha ribadito che l’ente risponde per un fatto proprio: ciò che gli viene rimproverato è una carenza dell’organizzazione destinata a prevenire il rischio-reato.
La cosiddetta colpa di organizzazione non può essere semplicemente presunta perché un reato è stato commesso.
E neppure la sola mancanza di un Modello 231 consente, automaticamente, di affermare la responsabilità della società.
La Cassazione ha chiarito che la mancata adozione o l’inefficace attuazione dei modelli organizzativi può assumere un forte valore nella verifica della colpa organizzativa, ma l’accusa deve comunque dimostrare concretamente il deficit organizzativo rilevante rispetto al reato verificatosi.
È un passaggio fondamentale.
Da una parte impedisce di trasformare il d.lgs. 231/2001 in una forma di responsabilità automatica dell’impresa.
Dall’altra rende ancora più importante la capacità dell’azienda di dimostrare come erano organizzati, prima del fatto, i processi interessati dal rischio.
Il Modello 231 è obbligatorio?
Il d.lgs. n. 231/2001 non contiene un obbligo generalizzato che imponga indistintamente a tutte le imprese di adottare un Modello di organizzazione, gestione e controllo.
Dire, però, che il Modello è semplicemente “facoltativo” rischia di essere una semplificazione altrettanto fuorviante.
Gli artt. 6 e 7 del decreto costruiscono infatti proprio attorno all’organizzazione preventiva dell’ente una parte essenziale del sistema di imputazione e di esonero dalla responsabilità.
Quando il reato viene commesso da un soggetto apicale, assumono particolare rilievo l’adozione e l’efficace attuazione, prima del fatto, di un modello idoneo a prevenire reati della stessa specie, l’affidamento della vigilanza a un organismo dotato di autonomi poteri di iniziativa e controllo, l’elusione fraudolenta del modello da parte dell’autore e l’effettività della vigilanza.
Quando il fatto è commesso da un soggetto sottoposto, l’analisi riguarda invece l’osservanza degli obblighi di direzione e vigilanza e l’idoneità dell’organizzazione adottata a prevenire il rischio.
Per l’imprenditore la domanda, quindi, non dovrebbe essere soltanto: “Sono obbligato ad avere un Modello 231?”
Quella realmente utile è: “La mia impresa è organizzata in modo da governare e documentare i rischi-reato cui è concretamente esposta?”
Un Modello acquistato “a pacchetto” non risolve il problema
Il Modello 231 non dovrebbe essere trattato come una raccolta di documenti da conservare in azienda nell’eventualità di un controllo.
La sua funzione è diversa.
Deve partire dalla realtà dell’impresa.
Occorre individuare le attività nelle quali possono essere commessi i reati rilevanti, verificare come vengono prese le decisioni, quali persone dispongano dei poteri necessari, dove transitino le risorse finanziarie, quali controlli siano previsti e come le anomalie vengano rilevate e gestite.
Da questa analisi devono derivare protocolli coerenti con i processi aziendali, flussi informativi, un sistema disciplinare, attività formative e meccanismi di verifica.
Un’impresa manifatturiera con stabilimenti, rifiuti, emissioni, appalti e centinaia di dipendenti presenta rischi profondamente diversi da una società professionale o da una piccola azienda commerciale.
La proporzionalità è quindi indispensabile.
Ma proporzionalità non significa genericità.
Un modello che descrive processi che in azienda non esistono, attribuisce responsabilità a funzioni inesistenti o riproduce formule elaborate per un’organizzazione completamente diversa rischia di dimostrare esattamente il contrario di ciò che dovrebbe provare: la distanza tra il sistema formale e l’organizzazione reale.
Il vero problema è l’effettiva attuazione
Anche un Modello tecnicamente ben costruito può perdere gran parte della propria funzione se resta inattuato.
È necessario poter dimostrare che le procedure vengono realmente applicate, che le persone interessate le conoscono, che i controlli vengono effettuati, che le anomalie generano conseguenze e che l’Organismo di Vigilanza riceve informazioni adeguate.
Il tema diventa particolarmente rilevante quando, dopo un evento, occorre ricostruire ciò che l’impresa faceva prima che il problema emergesse.
Verbali, audit, flussi all’OdV, segnalazioni, attività formative, verifiche sui fornitori, controlli sulle deleghe e documentazione delle decisioni possono allora assumere un significato che va molto oltre l’adempimento formale.
La compliance efficace produce tracce verificabili.
Quella costruita soltanto dopo l’inizio di un’indagine difficilmente può modificare retroattivamente l’organizzazione esistente al momento del fatto.
I reati presupposto non sono un catalogo immobile
Un’altra ragione per cui il Modello deve essere periodicamente verificato riguarda l’evoluzione normativa.
Il catalogo dei reati che possono determinare responsabilità dell’ente si è progressivamente ampliato e oggi attraversa numerose aree dell’attività d’impresa: rapporti con la Pubblica Amministrazione, criminalità informatica, reati societari, sicurezza sul lavoro, riciclaggio, reati tributari, ambiente, patrimonio culturale e numerosi altri settori.
Il 2026 offre un esempio particolarmente significativo.
Il d.lgs. 21 aprile 2026, n. 81, adottato in attuazione della direttiva (UE) 2024/1203 sulla tutela penale dell’ambiente, è intervenuto anche sull’art. 25-undecies del d.lgs. 231/2001, modificando il sistema dei reati ambientali presupposto della responsabilità dell’ente.
Per le imprese che operano con rifiuti, emissioni, scarichi, sostanze, impianti, bonifiche o prodotti suscettibili di produrre impatti ambientali, l’aggiornamento normativo non dovrebbe quindi tradursi nella semplice sostituzione di alcune pagine della Parte Speciale.
Occorre verificare se il nuovo perimetro normativo modifica realmente la mappa dei rischi, i processi sensibili e i controlli esistenti.
In materia ambientale questo passaggio è particolarmente delicato perché il rischio giuridico dipende spesso dall’interazione tra normativa penale, autorizzazioni amministrative, procedure tecniche e concreta gestione dell’impianto.
Su questi profili si veda anche l’approfondimento dello Studio su reati ambientali e responsabilità dell’azienda.
Il Modello 231 non è soltanto un tema delle grandi società
La dimensione dell’impresa è certamente rilevante nel determinare la complessità del sistema organizzativo.
Non modifica, però, il principio di fondo.
Anche una società di dimensioni contenute può trovarsi esposta a un reato presupposto commesso nel proprio interesse o vantaggio.
Una piccola impresa può gestire rifiuti speciali, avere dipendenti esposti a rischi significativi, partecipare a gare pubbliche, ricevere finanziamenti, utilizzare sistemi informatici complessi o operare attraverso numerosi appaltatori.
Il punto non è riprodurre all’interno di una PMI l’organizzazione di un gruppo quotato.
È costruire presidi proporzionati alla struttura e ai rischi reali.
In molti casi un sistema semplice, comprensibile e realmente applicato è più credibile di un apparato documentale enorme che nessuno utilizza.
Quando un’impresa dovrebbe riesaminare seriamente il proprio assetto 231
L’adozione del Modello non dovrebbe essere considerata un evento irripetibile.
Una società cambia.
Acquisisce un altro operatore, apre uno stabilimento, esternalizza una funzione, entra in un nuovo mercato, modifica le deleghe, aumenta il numero di dipendenti, partecipa a nuove gare, introduce tecnologie differenti o sviluppa processi produttivi che prima non esistevano.
E cambia anche il diritto.
Ogni trasformazione significativa dovrebbe quindi portare almeno a chiedersi se la precedente mappatura dei rischi descriva ancora fedelmente l’impresa.
La stessa verifica diventa opportuna dopo un incidente, un’ispezione, una segnalazione whistleblowing, una contestazione amministrativa, un rilievo dell’Organismo di Vigilanza o l’introduzione di nuovi reati presupposto rilevanti per il settore.
L’aggiornamento non consiste nel modificare la data riportata sul frontespizio del Modello.
Consiste nel verificare se organizzazione reale e organizzazione documentata coincidano ancora.
Cosa rischia concretamente l’ente
Il sistema sanzionatorio del d.lgs. n. 231/2001 non si esaurisce in una sanzione economica.
Il decreto contempla sanzioni pecuniarie e, per i casi previsti, sanzioni interdittive.
Queste ultime possono incidere direttamente sull’attività dell’impresa attraverso, tra l’altro, l’interdizione dall’esercizio dell’attività, la sospensione o revoca di autorizzazioni funzionali all’illecito, il divieto di contrattare con la Pubblica Amministrazione o l’esclusione da agevolazioni e finanziamenti.
Sono inoltre previste la confisca e, nei casi stabiliti dalla legge, la pubblicazione della sentenza.
Per determinate aziende il vero rischio non è quindi soltanto l’importo della sanzione.
Può essere la compromissione della continuità operativa, del rapporto con committenti pubblici e privati, delle autorizzazioni o della reputazione commerciale.
Se un procedimento è già iniziato, la posizione dell’impresa deve essere analizzata autonomamente
Quando viene contestato un reato presupposto, la posizione della persona fisica e quella della società non sono necessariamente coincidenti.
Occorre ricostruire separatamente i presupposti della responsabilità dell’ente: il rapporto dell’autore con la società, l’interesse o vantaggio, il sistema organizzativo esistente, le deleghe, i controlli e il funzionamento effettivo del Modello.
La sentenza della Cassazione n. 5923/2026 ricorda, del resto, quanto autonoma sia questa verifica: anche quando il reato presupposto si prescriva, il giudice può essere chiamato ad accertare autonomamente la responsabilità dell’ente secondo la disciplina dell’art. 8 del decreto.
Per questo la difesa 231 non dovrebbe ridursi alla difesa dell’amministratore o del dipendente cui è contestato il reato.
Sono due piani collegati, ma non sovrapponibili.
La responsabilità 231 è, prima di tutto, un problema di qualità dell’organizzazione
A venticinque anni dall’introduzione del decreto, considerare il Modello 231 come un semplice adempimento documentale significa perdere il punto centrale della disciplina.
L’impresa non viene chiamata a dimostrare di essere un’organizzazione nella quale nessun reato potrà mai verificarsi.
Un obiettivo del genere sarebbe irrealistico.
Ciò che assume rilievo è la capacità di dimostrare che i rischi prevedibili sono stati individuati e governati attraverso regole, responsabilità, controlli e vigilanza coerenti con l’attività concretamente esercitata.
Le pronunce della Cassazione del 2026 stanno rendendo questo principio particolarmente chiaro: il reato della persona fisica non sostituisce la prova della responsabilità dell’ente; al tempo stesso, la qualità dell’organizzazione diventa il terreno sul quale quella responsabilità viene accertata o esclusa.
Per un’impresa, quindi, il momento migliore per interrogarsi sull’adeguatezza del sistema 231 non è quello in cui arriva un decreto di sequestro o un’informazione di garanzia.
È prima.
Dal quadro generale alla verifica dell’assetto 231
Per l’analisi del modello organizzativo, della mappa dei rischi, dei flussi all’OdV e della posizione dell’ente è disponibile la pagina dedicata alla responsabilità 231 e compliance d’impresa. Per le imprese esposte a rischi ambientali, il percorso prosegue con l’approfondimento su Modello 231 e reati ambientali.
Responsabilità 231, organizzazione e rischio d’impresa
Lo Studio Liguori & Fimiani assiste imprese e amministratori nell’analisi dei rischi connessi al d.lgs. n. 231/2001, nella verifica dell’assetto organizzativo e nei procedimenti nei quali alla contestazione rivolta alla persona fisica si affianca la possibile responsabilità dell’ente.
Quando il rischio riguarda attività produttive, autorizzazioni o ambiente, possono essere utili anche le aree dedicate al diritto ambientale per le imprese e alla consulenza ambientale per imprese e progetti.
Per una valutazione dell’assetto esistente o di una contestazione già ricevuta, sottoponi la documentazione allo Studio →
Fonti normative e giurisprudenziali
D.lgs. 8 giugno 2001, n. 231, in particolare artt. 5-8, 9, 12-13, 25-septies e 25-undecies; Cass. pen., sez. II, 12 febbraio 2026, n. 5923; Cass. pen., sez. IV, 4 marzo 2026, n. 8397; Cass. pen., sez. IV, 23 maggio 2026, n. 18643; d.lgs. 21 aprile 2026, n. 81, attuativo della direttiva (UE) 2024/1203. Testi normativi vigenti su Normattiva – d.lgs. 231/2001 e Normattiva – d.lgs. 81/2026.
