In un contesto come quello attuale in cui la compliance assume un ruolo centrale, l’attuazione delle prescrizioni previste dal D.Lgs. 231/2001 rappresenta ad oggi un vero e proprio “ponte d’oro” teso a valorizzare in ottica premiale le imprese virtuose

→ Le questioni trattate riguarderanno i seguenti profili:

1. Quando si può configurare una responsabilità penale aziendale e in quali sanzioni l'ente può incorrere?

2. Nel caso in cui l’azienda NON abbia implementato un “Sistema 231”, su chi ricade l’onere della prova (e cosa si dovrà provare)?

3. Nel caso in cui l’azienda abbia implementato un “Sistema 231”, su chi ricade l’onere della prova (e cosa si dovrà provare)?

1. I presupposti della responsabilità dell’ente

Campo di applicazione

Come previsto dall’art. 1, comma 2, del D.Lgs. 231/2001, la disciplina sulla responsabilità dell’ente si applica alle società e agli enti forniti di personalità giuridica, nonché alle associazioni anche prive di personalità giuridica

Sono invece esclusi dal novero dei soggetti destinatari lo Stato, gli enti pubblici territoriali (Regioni, Province, Comuni), gli enti pubblici non economici e, in generale, tutti gli enti che svolgono funzioni di rilievo costituzionale (Camera dei Deputati, Senato della Repubblica, Corte costituzionale, CSM, CNEL)

Il caso dei consorzi

Tra gli “enti forniti di personalità giuridica, società e associazioni anche prive di personalità giuridica” un caso particolare riguarda i consorzi

Un consorzio rientra in questa categoria se:

• ha una propria autonomia organizzativa

• svolge attività di impresa o comunque un’attività economica organizzata

• persegue uno scopo economico (anche se non necessariamente lucrativo)

Per cui si potranno distinguere:

• Consorzio con attività esterna (art. 2612 c.c.), come ad esempio i consorzi di imprese per la gestione congiunta di servizi o appalti. Questi, avendo un’autonomia patrimoniale e organizzativa, nonché avendo la possibilità di stipulare contratti di natura economica, possono essere assoggettati alla disciplina di cui al D.lgs. 231/2001 per reati posti in essere nel loro interesse o vantaggio

• Consorzio senza attività esterna (art. 2602 c.c.), che si limita a disciplinare rapporti tra imprese consorziate. Agendo solo “internamente” e limitandosi a disciplinare rapporti tra imprese non sono da ritenersi sottoponibili alla disciplina in materia di responsabilità penale d’impresa, non esistendo un vero e proprio “ente” distinto capace di commettere il reato nel proprio interesse

• Consorzi pubblici (es. consorzi tra enti locali ex art. 31 TUEL). In questo caso se il consorzio svolge funzioni pubbliche rientrerà tra gli enti per cui tale responsabilità è esclusa ai sensi dell’art. 1, comma 3

Non rientrano invece nell’ambito di applicazione della normativa 231 le attività esclusivamente private o familiari prive di organizzazione aziendale e gli enti per i quali il legislatore ne ha previsto espressamente l’esclusione

I 3 pilastri della responsabilità dell’ente

1.  Per poter configurare una responsabilità penale dell’ente occorre innanzitutto che il reato sia stato commesso da un soggetto “interno” all’ente (o comunque in qualche modo ad esso riconducibile), in base a una distinzione di tipo gerarchico:

• soggetto apicale (amministratori, dirigenti di vertice, chi esercita funzioni di direzione)

• soggetto subordinato (dipendenti, collaboratori), ma solo se l’illecito è stato reso possibile da una carenza negli obblighi di direzione o vigilanza

2. Un secondo requisito riguarda il fatto che il reato sia stato commesso nell’interesse o a vantaggio dell’ente. Questi due termini non costituiscono una “endiade”, ma rappresentano due diverse modalità di collegamento tra la condotta del soggetto e l’ente, valutabili alternativamente (è sufficiente che ne sussista uno dei due):

• l’interesse implica che l’autore del reato abbia commesso il fatto con l’intenzione di favorire l’ente, anche qualora il risultato concreto non si realizzi. Ciò che rileva è quindi lo scopo soggettivo che muove la condotta del soggetto agente, valutabile secondo una prospettiva a priori (valutazione soggettiva - ex ante)

Esempio: se un dirigente falsifica un bilancio per far apparire l’azienda più solida e ottenere un finanziamento, anche qualora il prestito non venga concesso, il reato è ugualmente da qualificarsi come posto in essere “nell’interesse” dell’ente. Non rileva in questo caso l'effettiva utilità economica conseguita, ma solo il fine per cui il fatto è stato commesso

• il vantaggio, invece, corrisponde a un beneficio concreto e misurabile, solitamente di natura economica, patrimoniale o reputazionale. Ciò si può verificare anche quando, pur in assenza di un intento specifico di favorire l’ente, quest’ultimo ottenga comunque un beneficio economico in conseguenza del reato. A differenza dell’ipotesi precedente, il vantaggio si valuta successivamente al fatto, osservando le conseguenze effettive prodotte dalla condotta criminosa (valutazione oggettiva - ex post)

Esempio: qualora un dipendente ometta di effettuare controlli ambientali per risparmiare sui costi di smaltimento, anche se tale condotta sia stata posta in essere per negligenza o per comodità, l’azienda sarà ritenuta comunque responsabile avendone tratto un "vantaggio" in ottica di risparmio economico

Va da sé che l’ente non risponderà qualora il fatto sia stato commesso dal soggetto agente nell’interesse esclusivo proprio o di terzi

3. Non tutti i reati commessi da un soggetto riconducibile all’azienda e posti in essere nel suo interesse/vantaggio possono configurare una responsabilità aziendale, ma occorre che si tratti di uno di quei reati espressamente previsti dal D.lgs 231/2001 (c.d. reati presupposto)

Il legislatore, negli anni, ha progressivamente incrementato tale elenco di reati, peraltro con una formulazione degli stessi non in modo specifico, ma per “categorie di reati”

Art. 24 – Reati contro la Pubblica Amministrazione (peculato, corruzione, concussione, induzione indebita)

Art. 24-bis – Delitti informatici e trattamento illecito di dati (es. intrusione informatica, diffusione di malware)

Art. 24-ter – Delitti di criminalità organizzata (es. associazione mafiosa, scambio elettorale politico‐mafioso)

Art. 25 – Peculato, indebita destinazione, corruzione, concussione, induzione indebita ecc

Art. 25-bis / 25-bis.1 / 25-ter – Falsità, delitti contro industria e commercio, reati societari

Art. 25-quater / 25-quater.1 – Delitti con finalità di terrorismo ed eversione, delitti in materia di strumenti di pagamento diversi dai contanti

Art. 25-quinquies / 25-sexies / 25-septies – Reati contro la persona, abuso di mercato, reati in materia di tutela della salute e sicurezza sul lavoro

Art. 25-octies / 25-octies.1 – Riciclaggio, impiego di denaro di provenienza illecita, delitti su strumenti di pagamento

Art. 25-novies / 25-decies / 25-undecies – Violazione del diritto d’autore, induzione a non rendere dichiarazioni all’autorità giudiziaria, reati ambientali

Art. 25-duodecies / 25-terdecies / 25-quaterdecies / 25-quinquiesdecies / 25-sexiesdecies – Impiego di stranieri irregolari, reati di razzismo e xenofobia, frode sportiva, reati tributari, contrabbando

Art. 25-septiesdecies / 25-duodevicies / 25-undevicies – Reati contro il patrimonio culturale, riciclaggio di beni culturali, delitti contro gli animali (a partire da luglio 2025)

Riepilogo delle categorie di reati presupposto

2. Onere della prova qualora NON sia stato implementato un Modello 231

Per cui, in base a quanto suesposto, potrebbe ascriversi una responsabilità in capo all’ente qualora:

- sia stato commesso uno dei reati-presupposto previsti dalla norma

- il reato sia stato posto in essere da un soggetto ricollegabile all’ente (sia esso apicale o subordinato)

- il reato sia stato commesso nell’interesse dell’ente, o comunque si sia riverberato in un suo vantaggio

Ciò accadrà in tutti quei casi in cui l’azienda non abbia adottato ed efficacemente attuato alcun modello di organizzazione e gestione (MOG) previsto dalla normativa di cui al D.lgs. 231/2001

• A chi compete la prova della sussistenza di questi elementi?

Il sistema della responsabilità delle imprese segue le regole ordinarie previste in campo penale, secondo cui l'onere della prova della responsabilità del soggetto imputato di un illecito è sempre a carico dell’accusa

Quindi spetterà alla Procura della Repubblica provare, al di là di ogni ragionevole dubbio, la colpevolezza dell’ente

• Nel caso in cui si riesca a dimostrare la sussistenza di tutti e 3 i pilastri della responsabilità dell’ente, l’onere della prova a carico della Procura della Repubblica sarà quindi soddisfatto?

Secondo l’orientamento ormai consolidato della giurisprudenza italiana, per poter ascrivere una responsabilità penale in capo all’ente occorre - oltre alla prova dei requisiti appena elencati – anche un’ulteriore presupposto, ossia che l’ente sia incorso in una colpa di organizzazione

Il principio viene espresso chiaramente dalla sentenza della Corte di Cassazione penale sez. IV - 04/10/2022, n. 570 (conf. Cassazione penale sez. IV - 28/03/2023, n. 21704), di cui si riporta di seguito la massima:

“L'assenza del modello di organizzazione e di gestione, la sua inidoneità o la sua inefficace attuazione non sono ex se elementi costitutivi dell'illecito dell'ente. Infatti, per potere affermare che l'ente risponde per un fatto proprio colpevole, escludendo inammissibili profili di responsabilità oggettiva, è necessario che venga dimostrata la cosiddetta "colpa di organizzazione" dell'ente, basata sul non aver predisposto un insieme di accorgimenti preventivi idonei ad evitare la commissione del reato presupposto: è il riscontro di tale deficit organizzativo che consente l'imputazione all'ente dell'illecito penale realizzato nel suo ambito operativo dalla persona fisica (apicale o dipendente) che ha agito nell'interesse e/o a vantaggio dell'ente”

“Grava in proposito sull'accusa l'onere di dimostrare l'illecito penale presupposto commesso da una persona "qualificata" nell'interesse o a vantaggio dell'ente stesso e di dimostrare la "colpa di organizzazione" dell'ente che ha reso possibile la commissione del reato. Ed è solo la dimostrata ricorrenza di tali carenze organizzative, in quanto atte a determinare le condizioni di verificazione del reato presupposto, che giustifica il rimprovero e l'imputazione dell'illecito al soggetto collettivo”

• E se il reato è stato posto in essere da un “subordinato” ?

Un’ulteriore distinzione in ottica di attribuzione dell’onere della prova a carico dell’accusa la si rinviene nell’art. 7 del D.Lgs. 231/2001

Difatti, qualora il reato sia stato è stato posto in essere da soggetti subordinati (art. 5, comma 1, lett. b), l’accusa dovrà provare un elemento in più, ossia il fatto che la commissione del reato sia stata “resa possibile dall'inosservanza degli obblighi di direzione o vigilanza”

Per cui, nell’ambito della prova relativa alla colpa di organizzazione, la Procura della Repubblica dovrà focalizzare l’attenzione su quelle condotte di carattere omissivo tenute dai soggetti apicali deputati alla direzione o vigilanza che, se avessero svolto correttamente i loro compiti, avrebbero potuto impedire la commissione del reato

Quanto appena descritto configura lo schema della responsabilità per reato omissivo colposo, in virtù della presenza in capo ai soggetti apicali di una vera e propria posizione di garanzia ex art. 40 c.p.

Dal punto di vista empirico occorre tuttavia rilevare come la colpa di organizzazione dell’ente non sia così difficile da dimostrare, soprattutto nelle realtà imprenditoriali non particolarmente complesse

Peraltro, la mancanza di un Modello 231, pur non costituendo un argomento idoneo a fondare una presunzione in senso tecnico di colpa di organizzazione a carico dell’ente (non siamo di fronte a una presunzione iuris tantum), ne costituisce comunque un indizio di colpevolezza

3. Onere della prova qualora l’azienda abbia adottato ed efficacemente attuato un Modello 231

Qualora l’azienda abbia invece adottato un Modello 231 performante (quindi aggiornato e operativo), si assiste a un totale mutamento di prospettiva in ottica di attribuzione dell’onere della prova!

L’art. 6 del D. Lgs. 231/2001 introduce la disciplina relativa al caso in cui il reato sia stato posto in essere da un soggetto “apicale” e prevede, come regola generale, che l’ente NON RISPONDA qualora:

a. si sia dotato (“adottato ed efficacemente attuato”) prima del reato, di un Modello 231 (MOG) per prevenire reati della specie di quello verificatosi

b. si sia dotato di un Organismo di Vigilanza (OdV) con autonomi poteri di iniziativa e controllo per vigilare sul corretto funzionamento del MOG

c. che il reato sia stato commesso solo eludendo fraudolentemente il Modello 231

d. che non ci sia stata omessa o insufficiente vigilanza da parte dell’OdV

L’art. 6 configura una vera e propria “causa di esonero” dalla responsabilità dell’ente. Per cui, una volta che l’accusa riesca a dimostrare la commissione di un illecito penale presupposto da parte di una persona riconducibile all’ente e il fatto che sia stato posto in essere nel suo interesse o vantaggio, ciò non sarà comunque sufficiente per poter sanzionare l’azienda

Questa infatti potrà a sua volta dimostrare - quindi con onere della prova a suo carico - di aver adottato quell’insieme di regole, procedure e controlli interni (concreti, aggiornati e realmente operativi) idonei a scongiurare la commissione del reato, anche se questi si sia poi verificato

Si comprende quindi come l’implementazione di un Modello 231 inibisca completamente ogni spazio di manovra per l’accusa in merito alla prova della responsabilità dell’ente in ordine al reato commesso. Gli unici mezzi che la Procura della Repubblica avrà a disposizione saranno quelli previsti dall’art. 6 ai punti c) e d)

Per cui la responsabilità dell’ente potrà essere comunque configurata solo se l’accusa riesca a provare che la violazione del Modello 231 sia avvenuta con modalità agevoli e non artificiose (“fraudolente”) o che il fatto sia avvenuto per una responsabilità ascrivibile all’Organismo di Vigilanza il quale, pur avendone la possibilità, non abbia correttamente ottemperato ai compiti di sorveglianza per cui è stato nominato

Se ne ricava che:

• perché si possa parlare di “fraudolenta elusione” del modello da parte dell’apicale, il reato deve essere stato frutto di una condotta individuale ingannevole, e non di una debolezza strutturale del modello

• la vigilanza dell’OdV sia effettiva e non meramente formale

Meccanismo del tutto analogo si verifica qualora l’azienda si sia dotata di un Modello 231 e il reato sia stato posto in essere da un soggetto “subordinato”

Il comma 2 dell’art. 7 stabilisce che “è esclusa l'inosservanza degli obblighi di direzione o vigilanza se l'ente, prima della commissione del reato, ha adottato ed efficacemente attuato un modello di organizzazione, gestione e controllo idoneo a prevenire reati della specie di quello verificatosi”

• Quando si può affermare che un Modello 231 sia stato “efficacemente attuato” ?

Il comma 4 dell’art. 7 prevede che l'efficace attuazione del Modello 231, a fini dell'esenzione della pena, richieda:

- Verifiche periodiche: una verifica periodica del Modello e l'eventuale modifica dello stesso quando vengano scoperte significative violazioni delle prescrizioni ovvero quando intervengano mutamenti nell'organizzazione o nell'attività

- Un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel Modello