Modello organizzativo generico, nessuna protezione per l’impresa

La Cassazione chiarisce che il sistema previsto dal decreto legislativo 231 deve essere costruito sui rischi concreti dell’ente.

Un modello organizzativo formulato in termini generici non è sufficiente a escludere la responsabilità dell’ente. La Corte di cassazione penale, Sezione I, con sentenza 1º luglio 2026, n. 31505, ha richiamato la necessità che il sistema di prevenzione sia calibrato sui rischi effettivi dell’organizzazione.

Il modello previsto dal decreto legislativo 8 giugno 2001, n. 231, non può consistere nella riproduzione astratta di principi normativi o codici etici. Deve partire dall’analisi delle attività nelle quali possono essere commessi reati e individuare protocolli concretamente idonei a ridurne la probabilità.

Assumono rilievo la distribuzione dei poteri, i controlli sulle decisioni, la gestione delle risorse finanziarie, i flussi informativi e il sistema disciplinare. Le procedure devono specificare soggetti responsabili, attività da svolgere e modalità di documentazione.

Anche l’organismo di vigilanza deve essere posto nelle condizioni di operare con autonomia, continuità e accesso alle informazioni. La sua istituzione formale non compensa l’assenza di controlli effettivi.

L’idoneità deve essere valutata prima del reato, considerando le caratteristiche dell’impresa e i rischi ragionevolmente prevedibili. Dopo l’adozione, il modello deve essere attuato e aggiornato in presenza di cambiamenti organizzativi o violazioni significative.

La pronuncia rafforza l’esigenza di evitare modelli standardizzati e non aderenti alla realtà aziendale. La protezione riconosciuta dal sistema 231 deriva dall’effettiva capacità preventiva dell’assetto organizzativo, non dalla semplice esistenza di un documento approvato dall’organo amministrativo.