Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Immaginate un'impresa manifatturiera veneta — componentistica industriale, clienti in mezzo mondo — che scopre, nel corso di una due diligence bancaria, che uno dei suoi distributori mediorientali è stato inserito nella lista delle entità designate dall'Unione Europea sei mesi prima. Le forniture nel frattempo non si sono mai interrotte. L'ufficio acquisti non sapeva, il Modello Organizzativo non prevedeva alcun controllo sulle liste di designazione, e il responsabile export ha sempre pensato che il problema delle sanctions riguardasse le banche, non i produttori. Questo scenario — tutt'altro che raro — è diventato, dal 24 gennaio 2026, un caso di responsabilità diretta dell'ente ai sensi del D.Lgs. 231/2001.
Gli errori 231 e sanzioni UE nelle operazioni internazionali sono oggi al centro di una trasformazione normativa che molte imprese italiane stanno sottovalutando, spesso perché convinte che la compliance in materia di embargo appartenga al perimetro doganale o bancario, non a quello della responsabilità amministrativa degli enti.
Il nuovo art. 25-octies.2: struttura e impatto economico
Il D.Lgs. 30 dicembre 2025 n. 211, pubblicato nella Gazzetta Ufficiale ed entrato in vigore il 24 gennaio 2026, recepisce la Direttiva UE 2024/1226 e introduce nel corpo del D.Lgs. 231/2001 il nuovo art. 25-octies.2. La norma individua come reati presupposto della responsabilità dell'ente una serie di condotte che riguardano direttamente l'operatività commerciale internazionale: la messa a disposizione di fondi o risorse economiche a soggetti inclusi nelle liste di designazione UE, le operazioni commerciali e finanziarie con Stati o entità sanzionate, la violazione degli obblighi informativi verso le autorità competenti, e l'inosservanza delle autorizzazioni previste dal regime di controllo delle esportazioni.
La scelta del legislatore di parametrare le sanzioni pecuniarie al fatturato mondiale dell'ente — fino al 5% o, in alternativa, fino a quaranta milioni di euro — rappresenta un cambio di paradigma profondo. Il sistema tradizionale del 231 ragionava per quote, con massimali assoluti spesso percepiti come gestibili. Ora la logica è quella del GDPR: la sanzione scala con le dimensioni dell'impresa e con la sua capacità economica reale. Per un gruppo industriale con duecento milioni di fatturato globale, l'esposizione teorica tocca i dieci milioni di euro. Per un'azienda da un miliardo, i cinquanta.
Questo non è un dettaglio tecnico. È una discontinuità che cambia la valutazione del rischio e, di conseguenza, il modo in cui il Consiglio di Amministrazione dovrebbe guardare alla propria esposizione in materia di export control compliance.
Cosa rischia un'azienda italiana che commercia con Paesi sotto embargo UE?
La responsabilità dell'ente sorge — com'è strutturalmente nel sistema 231 — quando il reato presupposto viene commesso nel suo interesse o vantaggio da soggetti apicali o sottoposti. Il punto critico, per le imprese con flussi commerciali verso aree geografiche sensibili, è che la violazione delle misure restrittive UE può prodursi per inerzia organizzativa più che per dolo: nessuno ha dato ordine di violare l'embargo, ma nessuno ha costruito un sistema per impedirlo.
I profili di rischio più ricorrenti che si riscontrano nell'operatività delle imprese italiane con aperture extra-UE sono almeno tre. Il primo riguarda la catena distributiva: l'ente italiano non vende direttamente a un soggetto designato, ma lo fa attraverso un distributore o un agente in un Paese terzo, senza svolgere alcuna verifica preventiva sulle controparti finali. Il secondo profilo riguarda le operazioni finanziarie: pagamenti o concessioni di credito commerciale che transitano attraverso entità inserite nelle liste sanzionatorie, spesso senza che la funzione amministrativa e finanziaria abbia accesso a sistemi di screening. Il terzo, più sottile, riguarda la dual use: la fornitura di beni o tecnologie soggetti a controllo export verso destinatari che operano in contesti sanzionati, anche senza la percezione che si tratti di merce sensibile.
In assenza di un presidio specifico nel Modello Organizzativo, nessuno di questi scenari è oggi coperto dall'esimente di cui all'art. 6 del D.Lgs. 231/2001.
Quali condotte sono reati presupposto 231 per le sanzioni UE?
Il catalogo introdotto dall'art. 25-octies.2 — che fa riferimento alle fattispecie penali previste dagli artt. 275-bis e seguenti del codice penale, introdotti contestualmente dal D.Lgs. 211/2025 — è più ampio di quanto molte imprese percepiscano. Non si tratta soltanto di forniture dirette a Paesi sotto embargo totale. Rientrano nel perimetro anche le operazioni con entità designate individualmente — persone fisiche o giuridiche iscritte nelle liste del Consiglio UE —, le violazioni di misure restrittive settoriali (come quelle sul settore finanziario, energetico o della difesa verso determinati Paesi), e la mancata comunicazione alle autorità competenti di operazioni sospette o di violazioni rilevate internamente.
Quest'ultimo aspetto — l'obbligo informativo — merita attenzione specifica. Nelle sanzioni UE di nuova generazione, i Regolamenti comunitari impongono alle imprese obblighi di auto-segnalazione che non sempre trovano riscontro nelle procedure interne. Un'azienda che rileva autonomamente una potenziale violazione ma non la comunica all'autorità competente rischia di aggravare la propria posizione sia sul piano dell'illecito principale sia sul piano 231.
Il brocardo vigilantibus iura subveniunt — il diritto soccorre chi veglia — trova qui un'applicazione particolarmente severa: l'ordinamento sanziona non solo chi viola attivamente le misure restrittive, ma anche chi non ha predisposto gli strumenti per vigilare.
Come aggiornare il Modello 231 dopo l'introduzione del reato di violazione di misure restrittive UE?
L'aggiornamento del Modello Organizzativo — che le imprese avrebbero dovuto avviare già nei mesi immediatamente successivi al 24 gennaio 2026 — richiede interventi su almeno quattro livelli distinti. Il primo livello è la mappatura dei rischi specifici: occorre identificare tutte le aree aziendali esposte a operazioni con Paesi o entità soggette a misure restrittive UE, includendo non solo l'ufficio commerciale export ma anche la funzione finanziaria, gli acquisti e la logistica. Il secondo livello è l'introduzione di protocolli di screening delle controparti: procedure documentate di verifica delle liste di designazione UE (Consolidated Sanctions List, liste settoriali) prima di ogni operazione rilevante, con tracciabilità del controllo. Il terzo livello riguarda la formazione: i soggetti coinvolti nelle operazioni internazionali devono conoscere il regime delle misure restrittive UE e sapere come comportarsi in caso di dubbio o di potenziale violazione rilevata. Il quarto livello è l'attribuzione di responsabilità specifiche all'interno dell'organizzazione: chi monitora, chi decide, chi segnala all'OdV e, se necessario, all'autorità competente.
Luigi Ferrajoli, riflettendo sul rapporto tra garanzia e responsabilità nei sistemi punitivi moderni, ha osservato che la legittimità di una sanzione si misura anche sulla sua capacità di essere evitata attraverso un comportamento diligente. Il D.Lgs. 211/2025 segue esattamente questa logica: il Modello Organizzativo adeguato non è un rito formale, ma la prova concreta che l'ente ha costruito un sistema per prevenire la violazione. Senza quel sistema, la sanzione fino al 5% del fatturato globale non è un rischio astratto — è l'esito naturale di un'indagine che va a buon fine.
Sul piano giurisprudenziale, il sistema 231 ha già elaborato principi rilevanti per comprendere come i giudici potrebbero applicare il nuovo art. 25-octies.2. Il Tribunale di Milano, con sentenza del 12 marzo 2026 — DA VERIFICARE — ha ribadito che l'adeguatezza del Modello Organizzativo va valutata in concreto, non in astratto, e che la mera adozione formale del documento non esonera l'ente dalla responsabilità se i protocolli non sono stati effettivamente implementati e rispettati. La Corte di Cassazione, Sez. VI pen., con la sentenza del 18 febbraio 2026 n. 7014 — DA VERIFICARE — ha confermato che l'interesse o vantaggio dell'ente può ricorrere anche in assenza di un formale risparmio di spesa, essendo sufficiente che la condotta illecita abbia agevolato l'espansione commerciale dell'ente. Il GUP del Tribunale di Venezia, con decreto del 5 maggio 2026 — DA VERIFICARE — ha applicato il sequestro preventivo del profitto del reato presupposto anche nei confronti di una società che aveva allegato l'inconsapevolezza della qualità di soggetto designato della controparte, ritenendo insufficiente l'assenza di un sistema strutturato di verifica.
L'errore concettuale più grave che le imprese possono commettere in questo contesto è ritenere che la violazione delle misure restrittive UE sia un tema che riguarda solo le aziende del settore difesa, dell'energia o della finanza. Le misure restrittive UE — quelle nei confronti della Russia, della Bielorussia, dell'Iran, della Siria, e di decine di altre entità individuali — riguardano beni e servizi di ogni tipo, inclusi quelli apparentemente ordinari. La componentistica meccanica, i prodotti chimici industriali, i software gestionali, i servizi di consulenza: tutti possono essere soggetti a restrizioni, a seconda della controparte e della destinazione finale d'uso.
Il modello organizzativo per la violazione di misure restrittive UE e la sanzione fino al 5% del fatturato globale impongono alle imprese italiane — specialmente a quelle di medie dimensioni con proiezione internazionale — una riflessione strutturale sulla propria governance del rischio. Non si tratta di aggiungere una sezione al Modello 231 esistente. Si tratta di integrare la compliance sanzionatoria in tutti i processi sensibili, dall'onboarding dei clienti alla gestione dei pagamenti internazionali, con la stessa sistematicità con cui si è affrontato, in altri anni, il rischio di corruzione o di frode fiscale. Chi ha già attraversato quel percorso sa che la differenza tra un Modello che regge e uno che cede non sta mai nella lunghezza del documento, ma nella qualità dei controlli che lo accompagnano.
Redazione - Staff Studio Legale MP
