Il Modello di organizzazione, gestione e controllo deve essere concretamente idoneo ed efficacemente attuato

La responsabilità amministrativa degli enti prevista dal d.lgs. 8 giugno 2001, n. 231 non può essere ricondotta alla mera esistenza formale di un Modello di organizzazione, gestione e controllo. Allo stesso tempo, tuttavia, l’assenza del Modello, così come la sua eventuale inadeguatezza, non può tradursi automaticamente nella responsabilità dell’ente.

È la colpa di organizzazione a rappresentare il punto centrale dell’accertamento giudiziale: occorre verificare se l’ente abbia adottato e concretamente attuato un sistema organizzativo idoneo a prevenire il rischio-reato poi concretizzatosi e se una specifica carenza organizzativa abbia avuto un ruolo nella commissione dell’illecito.

È questa la prospettiva ribadita dalla Corte di cassazione penale, Sezione IV, con la sentenza 15 maggio 2025, n. 18410, intervenuta in materia di sicurezza sul lavoro e responsabilità dell’ente ai sensi dell’art. 25-septies del d.lgs. 231/2001.

La pronuncia assume particolare rilievo perché chiarisce, ancora una volta, che il Modello 231 non può essere considerato un documento meramente formale o una sorta di “polizza” da esibire in caso di contestazione. La sua efficacia deve essere valutata alla luce della concreta organizzazione aziendale, dei rischi effettivamente presenti e delle misure predisposte per prevenirli e controllarli.

Il caso della passerella non adeguatamente manutenuta

La vicenda trae origine da un infortunio sul lavoro verificatosi all’interno di una società per azioni.

Un lavoratore, al termine di un’attività di manutenzione, percorreva una passerella collocata all’esterno dello stabilimento. La struttura cedeva improvvisamente, determinando una caduta da un’altezza di circa cinque metri e conseguenti lesioni.

Secondo la ricostruzione accolta dai giudici, il cedimento della passerella era riconducibile alla protratta assenza di manutenzione, nonostante la struttura fosse esposta agli agenti atmosferici e, quindi, a fenomeni di deterioramento.

La società disponeva di un proprio Modello di organizzazione, gestione e controllo e aveva inoltre adottato un sistema di gestione certificato secondo standard internazionali.

La difesa aveva quindi valorizzato l’esistenza di tali strumenti organizzativi per sostenere l’assenza, o comunque la non configurabilità, della responsabilità dell’ente.

La Corte di cassazione, tuttavia, ha posto l’attenzione non sulla mera esistenza del sistema documentale, ma sulla sua effettiva capacità di prevenire il rischio concretamente verificatosi.

Adozione e attuazione del Modello sono due concetti diversi

Il principio è particolarmente importante.

L’art. 6 del d.lgs. 231/2001 attribuisce efficacia esimente a un Modello che sia, tra l’altro, idoneo a prevenire reati della specie di quello verificatosi e che sia stato efficacemente attuato.

Ne consegue che la mera produzione in giudizio del Modello non è sufficiente.

Occorre verificare:

• quali rischi siano stati concretamente individuati;
• quali procedure siano state predisposte per gestirli;
• quali responsabilità siano state attribuite;
• quali controlli siano stati effettivamente svolti;
• quali flussi informativi siano stati attivati;
• quale attività di monitoraggio sia stata concretamente realizzata;
• se il sistema organizzativo sia stato aggiornato rispetto all’evoluzione dei rischi aziendali.

Nel caso esaminato dalla Suprema Corte, assume particolare rilievo l’assenza di uno specifico programma di manutenzione delle passerelle e di adeguati meccanismi di controllo.

Il problema, quindi, non era semplicemente che “mancasse una regola” all’interno del Modello, ma che l’organizzazione aziendale non avesse concretamente governato un rischio presente e prevedibile nell’attività esercitata.

Il Modello deve infatti essere calibrato sulla realtà dell’impresa. Un documento astrattamente completo, ma non collegato ai processi aziendali e ai rischi effettivamente esistenti, rischia di non svolgere la funzione preventiva richiesta dal sistema 231.

La certificazione non equivale a un’esenzione automatica

La pronuncia affronta anche il rapporto tra Modello 231 e sistemi di gestione certificati.

La società aveva richiamato, tra gli altri elementi, la certificazione del proprio sistema organizzativo e il riferimento all’art. 30, comma 5, del d.lgs. 81/2008.

Anche sotto questo profilo, tuttavia, la Corte ha escluso che la certificazione possa essere considerata una sorta di presunzione assoluta di esonero dalla responsabilità dell’ente.

Un sistema di gestione certificato può certamente costituire un elemento significativo nell’assetto preventivo dell’impresa. Non sostituisce, però, la verifica giudiziale dell’effettiva attuazione delle misure organizzative e della loro idoneità rispetto al rischio concretamente verificatosi.

La certificazione, in altri termini, non può compensare automaticamente una concreta carenza organizzativa.

Nel caso della passerella, la presenza di un sistema certificato non aveva impedito che mancassero specifiche attività manutentive e adeguati controlli su una struttura esposta a un evidente rischio di deterioramento.

Il dato formale, dunque, cede il passo alla verifica sostanziale dell’organizzazione.

La colpa di organizzazione è elemento costitutivo della responsabilità dell’ente

È questo probabilmente il passaggio di maggiore rilievo sistematico.

La giurisprudenza più recente della Cassazione, anche attraverso le sentenze n. 31665/2024 e n. 21704/2023, ha progressivamente valorizzato la colpa di organizzazione quale elemento costitutivo dell’illecito dell’ente.

La colpa di organizzazione consiste, in termini generali, nel rimprovero rivolto all’ente per non avere adottato le necessarie cautele organizzative e gestionali idonee a prevenire la commissione del reato-presupposto.

Non si tratta, quindi, di una responsabilità oggettiva.

La società non risponde semplicemente perché un soggetto inserito nella sua organizzazione ha commesso un reato-presupposto.

L’accertamento deve riguardare la struttura organizzativa dell’ente e deve verificare se sia ravvisabile una specifica carenza organizzativa collegata alla realizzazione dell’illecito.

Il giudizio deve pertanto spostarsi dal semplice dato dell’avvenuta commissione del reato alla domanda centrale: l’organizzazione dell’ente era concretamente adeguata a prevenire quel rischio?

Non basta dimostrare che il Modello era inidoneo

La distinzione è essenziale anche sul piano processuale.

Non è sufficiente costruire il seguente automatismo:

reato-presupposto + Modello assente o inadeguato = responsabilità dell’ente.

L’accertamento deve essere più articolato.

Occorre individuare il reato-presupposto, verificare i criteri di imputazione previsti dal d.lgs. 231/2001 e accertare la concreta esistenza di una carenza organizzativa causalmente collegata alla commissione del reato.

In questa prospettiva, la colpa di organizzazione impedisce che il sistema 231 venga trasformato in una forma surrettizia di responsabilità oggettiva.

La mera possibilità di immaginare un’organizzazione “migliore” non è sufficiente.

Deve essere individuata una specifica regola cautelare organizzativa che l’ente avrebbe dovuto adottare e che, se correttamente predisposta e attuata, avrebbe avuto una concreta funzione preventiva rispetto al rischio materializzatosi.

Interesse e vantaggio nei reati colposi

Un ulteriore profilo riguarda il requisito dell’interesse o vantaggio dell’ente, previsto dall’art. 5 del d.lgs. 231/2001.

In materia di reati colposi commessi in violazione della normativa antinfortunistica, la giurisprudenza della Cassazione, a partire dalle Sezioni Unite con la sentenza n. 38343/2014, ha chiarito che interesse e vantaggio devono essere riferiti non all’evento lesivo in sé, ma alla condotta inosservante delle regole cautelari.

Nel caso della passerella, il vantaggio è stato individuato nel risparmio di spesa conseguente alla mancata manutenzione.

Anche questo elemento, tuttavia, deve essere valutato concretamente.

Non ogni risparmio di spesa è automaticamente sufficiente a dimostrare il vantaggio dell’ente. La sua rilevanza deve essere verificata considerando la natura della violazione, la sua consistenza, il contesto organizzativo e il rapporto con il rischio concretamente verificatosi.

La successiva giurisprudenza della Cassazione ha, del resto, sottolineato che anche l’esiguità del risparmio può assumere rilievo quando la violazione si collochi in un contesto nel quale, complessivamente, l’impresa rispetti le disposizioni antinfortunistiche.

Ne deriva che il requisito dell’interesse o vantaggio non può essere ridotto alla semplice individuazione di un qualsiasi risparmio economico.

Il ruolo dell’Organismo di vigilanza

La stessa logica riguarda l’Organismo di vigilanza.

La sua nomina, di per sé, non dimostra l’effettività del sistema 231.

L’OdV deve operare all’interno di un assetto organizzativo nel quale siano concretamente individuati i rischi, definite le procedure, attribuite le responsabilità e predisposti flussi informativi adeguati.

Nel caso esaminato dalla Cassazione, il generico riferimento all’attività dell’Organismo di vigilanza non è stato considerato sufficiente a superare le concrete carenze riscontrate nell’organizzazione aziendale.

Anche sotto questo profilo emerge quindi una distinzione fondamentale tra esistenza formale dell’organo ed effettività della funzione di vigilanza.

L’OdV non può sostituirsi alle funzioni operative e gestionali dell’impresa, ma il sistema di vigilanza deve essere concretamente inserito nel complessivo modello di prevenzione e deve poter intercettare eventuali criticità attraverso adeguati flussi informativi e attività di controllo.

Il vero banco di prova del Modello è il rischio concreto

La vicenda della passerella offre una chiave di lettura particolarmente efficace dell’intero sistema.

Un Modello 231 può essere formalmente completo e contenere numerose procedure, protocolli e riferimenti normativi. Ma se non intercetta un rischio concretamente presente nell’organizzazione, oppure lo individua senza predisporre misure effettivamente idonee a governarlo, la sua funzione preventiva può risultare compromessa.

Il Modello deve quindi essere costruito sulla reale organizzazione aziendale, non su un modello astratto di impresa.

Questo implica, tra l’altro, un’attività periodica di:

• mappatura dei rischi;
• aggiornamento dei protocolli;
• verifica dell’effettiva applicazione delle procedure;
• attribuzione chiara delle responsabilità;
• formazione del personale;
• monitoraggio delle attività sensibili;
• gestione dei flussi informativi verso l’OdV;
• verifica delle manutenzioni e dei controlli;
• aggiornamento del sistema in presenza di modifiche organizzative, tecnologiche o normative.

Il Modello, pertanto, non dovrebbe essere considerato un documento “chiuso”, predisposto una volta per tutte, ma un sistema dinamico, destinato ad accompagnare l’evoluzione dell’organizzazione.

Dal documento alla concreta organizzazione dell’impresa

La sentenza n. 18410/2025 si inserisce così in un percorso giurisprudenziale nel quale assume sempre maggiore rilievo la dimensione sostanziale della compliance 231.

Il punto non è stabilire soltanto se l’impresa abbia adottato un Modello, ma verificare come quel Modello abbia inciso concretamente sull’organizzazione aziendale.

La domanda centrale diventa quindi se le regole contenute nel Modello siano state tradotte in comportamenti, procedure e controlli effettivi.

È questa la differenza tra un sistema di compliance meramente documentale e un sistema realmente integrato nell’organizzazione.

La stessa logica vale per le certificazioni, per i sistemi di gestione e per l’attività dell’Organismo di vigilanza: tutti questi elementi possono concorrere a dimostrare l’effettività dell’assetto organizzativo, ma nessuno di essi, isolatamente considerato, determina automaticamente l’esonero dell’ente.

Conclusioni

La sentenza della Corte di cassazione n. 18410/2025 conferma la centralità della colpa di organizzazione nell’accertamento della responsabilità degli enti ai sensi del d.lgs. 231/2001.

Il sistema si colloca quindi tra due estremi.

Da un lato, la mera adozione del Modello 231 non costituisce uno scudo automatico: il Modello deve essere idoneo rispetto ai rischi dell’impresa ed efficacemente attuato.

Dall’altro, l’assenza, l’inadeguatezza o l’inefficace attuazione del Modello non possono essere trasformate automaticamente nella prova della responsabilità dell’ente. Occorre individuare la concreta carenza organizzativa, verificarne la rimproverabilità e accertarne il collegamento con il reato-presupposto.

La prospettiva che emerge è, dunque, quella di una responsabilità dell’ente fondata non sulla semplice esistenza di un documento, ma sulla qualità concreta della sua organizzazione.

Il vero valore del Modello 231 si misura nella sua capacità di prevenire i rischi, orientare i processi decisionali, attivare controlli e intercettare tempestivamente le criticità.

In questa prospettiva, la compliance 231 non può essere ridotta a un adempimento burocratico. Il Modello acquista effettivo rilievo soltanto quando diventa parte integrante dell’organizzazione aziendale e quando le misure preventive previste sulla carta trovano concreta applicazione nella realtà operativa dell’impresa.

La colpa di organizzazione rappresenta, in definitiva, il punto di equilibrio del sistema: impedisce che la responsabilità 231 si trasformi in una responsabilità oggettiva per il solo fatto commesso dalla persona fisica e, al tempo stesso, impedisce che l’adozione meramente formale di un Modello possa essere utilizzata come sostituto di un’effettiva attività di prevenzione.