Il progetto mette la “colpa di organizzazione” al centro della responsabilità dell’ente, sposta sull’accusa la prova delle carenze aziendali e introduce strumenti premiali. Non è però un liberi tutti: amministratori e imprese dovranno dimostrare che controlli e procedure funzionano nella realtà, non soltanto sulla carta.
Il decreto legislativo 231 del 2001 ha cambiato radicalmente il rapporto tra impresa e responsabilità penale. Prima della sua introduzione, a rispondere dei reati commessi nell’attività aziendale erano essenzialmente le persone fisiche. Con la 231 anche società, associazioni ed enti possono essere chiamati a rispondere quando determinati reati vengono commessi nel loro interesse o a loro vantaggio da amministratori, dirigenti, dipendenti o altri soggetti inseriti nell’organizzazione.
In venticinque anni, però, quello che era nato come un sistema circoscritto e soprattutto preventivo si è progressivamente ampliato. Il catalogo dei reati presupposto ha inglobato corruzione, sicurezza sul lavoro, ambiente, reati societari e tributari, riciclaggio, criminalità informatica, diritto d’autore, contrabbando e molte altre fattispecie. Il testo vigente è stato aggiornato ancora nel 2026, a conferma di una stratificazione normativa continua.
Il risultato è un meccanismo che, almeno nelle intenzioni, dovrebbe premiare l’impresa ben organizzata, ma che nella pratica ha spesso prodotto incertezza. Un’azienda può investire in consulenti, procedure, formazione, audit e organismi di vigilanza, per poi scoprire soltanto durante un procedimento che il proprio modello non viene considerato adeguato.
La riforma annunciata cerca di intervenire proprio su questa contraddizione. Secondo le anticipazioni disponibili, il disegno di legge dovrebbe approdare in Consiglio dei ministri dopo il lavoro del Tavolo tecnico istituito presso il Ministero della Giustizia e presieduto da Giorgio Fidelbo. Il progetto è stato presentato nel novembre 2025 e interviene sia sulle regole sostanziali sia sul procedimento a carico degli enti. Fino alla pubblicazione del testo governativo definitivo, tuttavia, le singole misure devono essere considerate ancora suscettibili di modifiche.
Il problema dell’attuale sistema: l’impresa deve provare la propria innocenza organizzativa
La questione centrale riguarda l’onere della prova.
Oggi, quando il reato viene commesso da un soggetto in posizione apicale, l’articolo 6 del decreto stabilisce che l’ente possa evitare la responsabilità dimostrando di avere adottato e attuato efficacemente un modello idoneo, di avere affidato la vigilanza a un organismo autonomo, che l’autore abbia eluso fraudolentemente il sistema e che non vi siano state omissioni o insufficienze nei controlli.
In termini molto concreti, il reato commesso dall’amministratore o dal dirigente tende a collocare l’azienda in una posizione difensiva: deve ricostruire a posteriori la propria organizzazione e convincere il giudice che il fatto sia avvenuto nonostante un sistema preventivo adeguato.
La proposta di riforma vuole capovolgere questo paradigma. La responsabilità dell’impresa dovrebbe fondarsi su una specifica colpa di organizzazione, che diventerebbe un vero elemento costitutivo dell’illecito. Non sarebbe quindi sufficiente dimostrare che un reato è stato commesso nell’interesse o a vantaggio dell’ente: l’accusa dovrebbe individuare una precisa carenza organizzativa, provarne la rilevanza e dimostrare il collegamento tra quella carenza e il fatto contestato.
È una differenza sostanziale. L’azienda non dovrebbe più difendersi da una generica accusa di non avere fatto abbastanza, mentre il pubblico ministero sarebbe chiamato a spiegare quale cautela mancava, quale procedura era inefficace e in che modo quel deficit abbia reso possibile o agevolato il reato.
La direzione non nasce oggi. Anche la giurisprudenza e alcune iniziative parlamentari hanno progressivamente riconosciuto che la responsabilità dell’ente non può essere una semplice conseguenza automatica della responsabilità della persona fisica. La proposta di legge n. 2632, presentata alla Camera nel settembre 2025 su un percorso distinto da quello governativo, indica espressamente tra i propri obiettivi la maggiore tassatività della colpa di organizzazione, la prevedibilità del diritto e il superamento del giudizio costruito con il “senno di poi”.
Dal faldone delle procedure al sistema operativo dell’impresa
Sarebbe però un errore interpretare la riforma come un alleggerimento generalizzato della compliance.
Spostare l’onere della prova sull’accusa non significa trasformare il modello 231 in un certificato di immunità. Al contrario, la proposta tende a definire con maggiore precisione ciò che un modello deve contenere e il modo in cui deve essere valutato.
Le linee guida delle associazioni rappresentative, le procedure semplificate e le migliori pratiche di settore dovrebbero assumere maggiore rilevanza. Il giudice manterrebbe la possibilità di valutare il caso concreto, ma un eventuale scostamento dai parametri riconosciuti dovrebbe essere adeguatamente motivato.
Questo potrebbe aumentare la prevedibilità per le imprese, evitando che ogni tribunale ricostruisca autonomamente il modello ideale. Ma potrebbe anche alzare l’asticella per chi si è limitato ad acquistare un documento standard, sostituire il nome della società in copertina e convocare l’Organismo di vigilanza un paio di volte all’anno.
Un modello efficace non è una collezione di divieti. È un sistema che parte dai rischi reali dell’attività e arriva alle decisioni operative: chi può autorizzare un pagamento, come vengono scelti fornitori e intermediari, chi controlla le spese, come si gestiscono i conflitti di interesse, quali anomalie devono essere segnalate e cosa accade quando una procedura viene violata.
Le indicazioni internazionali dell’OCSE vanno nella stessa direzione. I programmi di compliance dovrebbero essere costruiti sulla base dei rischi specifici dell’impresa, adattati alla dimensione, alla struttura, al settore e ai mercati in cui opera. Dovrebbero inoltre prevedere un impegno visibile del vertice aziendale, controlli dotati di autonomia e risorse, due diligence sui partner, formazione documentata, canali di segnalazione e verifiche periodiche sull’efficacia del sistema.
La riforma, quindi, potrebbe ridurre la componente arbitraria del giudizio senza diminuire la responsabilità organizzativa. Anzi, potrebbe rendere più difficile sostenere che un modello sia efficace quando non esistono verbali, controlli, flussi informativi, budget, aggiornamenti o conseguenze concrete per chi non rispetta le procedure.
L’amministratore non potrà più “delegare la 231” al consulente
Uno degli effetti più rilevanti riguarda il ruolo degli organi societari.
Per anni molte imprese hanno trattato la 231 come una materia esterna alla gestione: l’avvocato redige il modello, il consulente aggiorna la parte speciale, l’Organismo di vigilanza riceve qualche report e il consiglio di amministrazione approva quanto gli viene sottoposto.
Ma un deficit organizzativo non nasce nel documento. Nasce nelle scelte dell’impresa.
Nasce quando una funzione è priva di personale, quando non vengono separati poteri incompatibili, quando i controlli vengono aggirati per raggiungere un obiettivo commerciale, quando un intermediario viene scelto senza verifiche o quando un’anomalia nota viene ignorata perché intervenire costerebbe tempo e denaro.
La 231 dovrebbe quindi integrarsi con il sistema di controllo interno, la gestione dei rischi, la sicurezza sul lavoro, il whistleblowing, la cybersecurity, i controlli fiscali, la sostenibilità e, sempre più spesso, la governance dell’intelligenza artificiale. Non serve costruire sistemi paralleli che producono procedure duplicate e riunioni autoreferenziali. Serve un’unica architettura organizzativa capace di far emergere i rischi e assegnare responsabilità verificabili.
Anche Confindustria, nel position paper pubblicato nell’aprile 2025, ha chiesto di recuperare la logica preventiva e premiale originaria del decreto, superando il disorientamento generato dalla genericità delle regole, dalla stratificazione dei reati presupposto e dall’incertezza sulla valutazione dei modelli.
La “messa alla prova” dell’ente
Tra le novità più innovative vi sarebbe l’introduzione di una forma di messa alla prova per le imprese.
Il principio è simile a quello applicato, con caratteristiche differenti, alle persone fisiche: l’ente che interviene sulle proprie carenze organizzative, ripara il danno e adotta misure concrete per evitare il ripetersi dell’illecito potrebbe ottenere, al termine di un percorso sottoposto al controllo dell’autorità giudiziaria, l’estinzione dell’illecito amministrativo.
Non si tratterebbe semplicemente di presentare un nuovo modello dopo essere stati scoperti. La logica è quella della bonifica effettiva: individuazione delle cause, modifica dei processi, sostituzione o formazione dei responsabili, rafforzamento dei controlli, restituzione del vantaggio e risarcimento delle conseguenze prodotte. Nella proposta del Tavolo tecnico, l’accesso allo strumento sarebbe inoltre collegato alla presenza di un precedente impegno organizzativo dell’impresa, anche se rivelatosi non pienamente adeguato.
È probabilmente uno dei passaggi più interessanti della riforma. Un sistema che si limita a sanzionare può colpire l’azienda, i lavoratori, i creditori e gli azionisti senza necessariamente migliorarne l’organizzazione. Un sistema che impone di rimuovere le cause del reato può produrre un risultato più utile, purché il percorso non diventi una trattativa opaca o un privilegio riservato alle imprese dotate delle maggiori risorse economiche.
Serviranno quindi criteri chiari, controlli indipendenti e condizioni proporzionate.
Sequestri e contestazioni più precise
Il progetto interviene anche sugli strumenti processuali.
Tra le ipotesi illustrate figurano la necessità di “gravi indizi” sulla responsabilità dell’ente per applicare il sequestro preventivo e la possibilità di prestare una cauzione, evitando che il vincolo sui beni comprometta inutilmente la continuità aziendale. Verrebbero inoltre rafforzati i requisiti della contestazione: il pubblico ministero dovrebbe indicare con precisione non soltanto il reato presupposto, ma anche le carenze organizzative attribuite all’impresa e le relative fonti di prova.
È un punto particolarmente importante. Per un’impresa, un sequestro o una misura interdittiva possono produrre conseguenze economiche immediate, molto prima della conclusione del processo: perdita di affidamenti, blocco di investimenti, difficoltà bancarie, esclusione da gare e rottura dei rapporti con clienti e fornitori.
Maggiore rigore nell’accesso alle misure cautelari non significa indebolire i controlli, ma evitare che la sanzione sostanziale venga anticipata a una fase nella quale la responsabilità deve ancora essere accertata.
PMI: proporzionalità non significa compliance di serie B
La questione più delicata riguarda le piccole e medie imprese.
In un gruppo quotato è possibile separare funzioni, istituire strutture di audit e compliance e affidare controlli a team specializzati. In una società con quindici dipendenti, nella quale il titolare è contemporaneamente amministratore, responsabile commerciale e referente bancario, replicare la stessa architettura è spesso impossibile e può risultare perfino inutile.
Per questo la riforma dovrebbe valorizzare il principio di proporzionalità, prevedendo modelli e procedure semplificati in funzione della dimensione, del settore e della complessità dell’ente. Anche l’OCSE riconosce che i programmi di compliance devono essere adattati alle caratteristiche dell’impresa e che associazioni professionali e organizzazioni imprenditoriali hanno un ruolo essenziale nel mettere strumenti e assistenza a disposizione delle PMI.
Semplificare, tuttavia, non significa esonerare.
Una piccola impresa potrebbe avere bisogno di meno procedure, ma deve comunque sapere chi autorizza i pagamenti, come vengono verificati i fornitori, quali rischi presenta il proprio settore e cosa fare quando emerge un comportamento anomalo. Un sistema semplice, utilizzato e verificabile è più credibile di un modello di quattrocento pagine che nessuno ha mai letto.
Cosa dovrebbero fare ora le imprese
Attendere il testo definitivo è necessario per comprendere le nuove regole, ma non è una buona ragione per sospendere gli aggiornamenti.
Le aziende dovrebbero verificare soprattutto la distanza tra ciò che il modello dichiara e ciò che realmente avviene. Non basta accertare che una procedura esista: bisogna controllare se viene applicata, se lascia tracce, se le eccezioni vengono autorizzate e se le segnalazioni producono conseguenze.
In particolare, diventeranno sempre più rilevanti la qualità della mappatura dei rischi, la chiarezza delle responsabilità, la documentazione delle decisioni, l’autonomia dei controlli, la formazione legata alle attività effettivamente svolte e la capacità di intervenire rapidamente sulle anomalie.
La domanda non sarà più soltanto: “Avete adottato il modello 231?”. Sarà: “Quale rischio avevate individuato, quale controllo avete introdotto, chi lo ha eseguito e cosa è accaduto quando non ha funzionato?”.
Ed è una domanda molto più seria.
Una buona riforma, purché non diventi un’altra produzione di carta
La direzione appare condivisibile: responsabilità fondata su carenze organizzative concrete, maggiore prevedibilità nella valutazione dei modelli, contestazioni precise e strumenti che favoriscano il ritorno dell’impresa alla legalità.
Rimangono però alcuni rischi.
Le linee guida potrebbero trasformarsi in nuovi elenchi burocratici da rispettare formalmente. I modelli semplificati potrebbero diventare prodotti standardizzati privi di relazione con l’attività. La messa alla prova potrebbe essere troppo complessa per le PMI o troppo comoda per le grandi organizzazioni. E una razionalizzazione eccessiva del catalogo dei reati potrebbe ridurre la capacità preventiva del sistema in settori nei quali il rischio è reale.
La riforma funzionerà soltanto se riuscirà a distinguere tra l’impresa che ha costruito controlli seri ma non è riuscita a impedire ogni comportamento individuale e quella che ha adottato procedure soltanto per esibirle nel momento del bisogno.
Il modello 231 non dovrebbe essere né una polizza assicurativa né una presunzione di colpevolezza. Dovrebbe essere la rappresentazione verificabile di come un’impresa governa i propri rischi.
Meno carta, quindi, ma molta più organizzazione.
Fonti principali
Il testo vigente del decreto legislativo 231/2001 è consultabile su Normattiva.
Il position paper di Confindustria dell’11 aprile 2025 analizza le criticità applicative e le prospettive di riforma.
La proposta di legge A.C. 2632, presentata il 29 settembre 2025, offre un ulteriore riferimento parlamentare sui temi della colpa di organizzazione, della prevedibilità e della premialità.
L’analisi del progetto elaborato dal Tavolo tecnico illustra il nuovo onere probatorio, la valutazione dei modelli, la messa alla prova e le modifiche processuali.
La Raccomandazione OCSE 2021 contiene i princìpi internazionali su controlli interni, etica, compliance e proporzionalità per le PMI.
