A cura dell’Avv. Alessio Molinarolli — Studio Legale MCRK
La domanda sbagliata — e perché costa cara
Il primo approccio di molti imprenditori al Decreto Legislativo 231 del 2001 si può riassumere in una domanda che suona ragionevole: «È obbligatorio adottare il Modello?».
Incominciamo col dire che la risposta formale è no. Al tempo stesso, però, liquidare la questione in questi termini significa ignorare la struttura reale del sistema e, soprattutto, le conseguenze concrete per chi sceglie di non dotarsi di un Modello di Organizzazione, Gestione e Controllo — il cosiddetto MOG.
Il decreto legislativo non impone l’adozione del Modello, ma lo configura come l’unico strumento in grado di esonerare l’ente dalla responsabilità per reati commessi nel suo interesse o a suo vantaggio. In un contesto normativo in continua espansione — specialmente dopo le riforme del 2026 — la scelta di adottare un MOG non va più considerata una mera questione di conformità ma di strategia aziendale. Vale la pena comprenderne le ragioni.
La logica asimmetrica del D.Lgs. 231/2001
Il decreto 231 introduce una forma di responsabilità che la legge definisce «amministrativa» ma che nella sostanza funziona come una responsabilità para-penale: l’ente risponde per i reati commessi nel suo interesse o a suo vantaggio da chi opera al suo interno, indipendentemente dall’identificazione o dall’imputabilità della persona fisica che ha agito.
Il fulcro del sistema è dunque una logica che potremmo definire asimmetrica dell’onere della prova, che rende la decisione di non adottare un Modello tutto tranne che neutrale.
Quando il reato è commesso da un soggetto apicale — un amministratore, un direttore generale — la responsabilità dell’ente viene “presunta”. Per andare esente, l’ente deve infatti dimostrare di aver adottato prima del fatto un Modello idoneo, di aver istituito un Organismo di Vigilanza con poteri autonomi, e che il reato è stato commesso eludendo fraudolentemente quel Modello. L’articolo 6 del decreto è esplicito su questo punto.
In assenza di un MOG, quella prova semplicemente non può esistere.
Quando invece il reato è commesso da un dipendente, l’articolo 7 stabilisce che l’ente è responsabile se la commissione del reato è stata resa possibile dall’inosservanza degli obblighi di direzione e vigilanza — da quella che comunemente si definisce «colpa di organizzazione». E la legge stabilisce che questa inosservanza è esclusa se l’ente ha adottato ed efficacemente attuato un Modello idoneo. Anche in questo scenario, il MOG è la principale via di difesa.
Intendere la volontarietà del Modello come sinonimo «non necessarietà» è quindi l’errore più diffuso e più pericoloso.
L’espansione del rischio: le novità del 2026
Il catalogo dei reati che possono dare luogo alla responsabilità dell’ente non è statico. Il legislatore lo ha progressivamente ampliato nel tempo, includendo i reati in materia di salute e sicurezza sul lavoro, i reati informatici, quelli ambientali. Nel 2026 vi è stata un’ulteriore espansione.
Da gennaio 2026 sono diventate reato presupposto le violazioni delle misure restrittive dell’Unione Europea — embarghi, sanzioni finanziarie internazionali. Una novità che espone direttamente le imprese attive sui mercati internazionali a rischi che fino a quel momento non rientravano nel perimetro 231.
Da giugno 2026 è stata ampliata anche la portata dei reati ambientali. Anche qui, se l’impresa non dispone di procedure specifiche e di un modello organizzativo, si trova priva di difese di fronte a sanzioni pecuniarie e interdittive potenzialmente devastanti per la continuità aziendale.
Conclusione
La domanda da porsi allora non è se il Modello 231 sia obbligatorio. È se un’impresa possa permettersi di operare senza.
In un panorama di responsabilità in continua espansione, ignorare il D.Lgs. 231/2001 significa trovarsi esposti senza presidio. L’adozione di un Modello organizzativo efficace non è un costo: è un investimento sulla continuità aziendale. È la risposta concreta a una domanda scomoda: se domani un dipendente commettesse un reato a vantaggio dell’impresa, l’organo amministrativo avrebbe qualcosa di credibile da mostrare a un giudice per dimostrare di aver fatto tutto il possibile per prevenirlo?
Capire se e dove un’impresa è esposta rispetto al perimetro 231 non richiede di trovarsi già in difficoltà. Spesso una valutazione preliminare — anche solo sulla mappatura dei rischi — è sufficiente per avere un quadro chiaro e decidere con cognizione di causa.
