August 26, 2026
D.Lgs. 231 e modello organizzativo: quando il documento non basta
Con la sentenza n. 18643 del 23 maggio 2026, la Cassazione ha ribadito un principio che molti danno per scontato ma poche aziende applicano davvero: la responsabilità amministrativa dell'ente ai sensi del D.Lgs. 231/2001 non scatta automaticamente per il solo fatto che si sia verificato un reato presupposto. Il modello organizzativo, se costruito e applicato correttamente, può fare la differenza.
Il punto è proprio quel "se".
Il D.Lgs. 231/2001 ha introdotto in Italia la responsabilità amministrativa degli enti per una serie di reati commessi nel loro interesse o a loro vantaggio da soggetti apicali o sottoposti. La sanzione può essere pecuniaria, interdittiva o, nei casi più gravi, comportare la sospensione dell'attività.
L'unica esimente prevista dalla norma è l'adozione e l'efficace attuazione di un modello di organizzazione, gestione e controllo, il cosiddetto MOG, prima della commissione del fatto. La parola chiave è "efficace attuazione".
Molte aziende hanno un modello 231. Poche lo hanno integrato nei processi quotidiani.
Gli errori più frequenti che emergono in sede di verifica o di procedimento sono tre.
Il primo è il MOG adottato anni fa e mai aggiornato dopo cambiamenti organizzativi rilevanti, fusioni, nuove linee di business, cambi di management.
Il secondo è la formazione al personale mai erogata o erogata una volta sola, senza documentazione e senza verifica della comprensione.
Il terzo è l'Organismo di Vigilanza che esiste sulla carta ma non si riunisce con regolarità, non verifica nulla e non produce verbali.
In questi casi il modello non protegge. Anzi, in alcuni casi può aggravare la posizione dell'ente, perché dimostra che la governance era prevista ma non applicata.
Un modello organizzativo efficace ha alcune caratteristiche precise.
È aggiornato rispetto all'assetto attuale dell'azienda e alle aree di rischio reali, non a quelle teoriche di dieci anni fa. È conosciuto dal personale, con evidenze documentate di formazione erogata e compresa. È presidiato da un Organismo di Vigilanza che opera con continuità, verbalizza, riceve segnalazioni e riferisce agli organi apicali. Ed è integrato con gli altri sistemi di compliance aziendali, GDPR, NIS2, AI Act, perché i rischi oggi si sovrappongono e un approccio a silos non funziona.
La sentenza della Cassazione non introduce novità dirompenti, ma conferma che il perimetro di protezione del MOG è reale solo quando il modello è vivo, non archiviato.
Le aziende rallentano in estate, ma non i procedimenti. Il Garante, l'ACN e le procure lavorano tutto l'anno, e i controlli del secondo semestre 2026 sono già pianificati su più fronti normativi.
Usare questo periodo per una verifica interna del modello, aggiornarlo dove serve e colmare i gap formativi è una scelta operativa concreta, non un adempimento burocratico.
Con Agile Compliance affianchiamo le aziende nella revisione e nell'aggiornamento del modello 231, nel coordinamento con gli altri framework normativi e nella costruzione di un sistema di compliance che regge anche quando viene messo alla prova.
