Un imprenditore veneto, titolare di una società con quaranta dipendenti, scopre di essere coinvolto in un procedimento ex D.Lgs. 231/2001 per un infortunio occorso a un lavoratore. La società aveva adottato un modello organizzativo tre anni prima, aveva nominato un Organismo di Vigilanza, aveva persino ottenuto una certificazione di sistema. Eppure il Tribunale conferma la responsabilità dell'ente. Il modello esisteva, ma non era mai stato davvero applicato: nessun verbale dell'ODV, nessun flusso informativo tracciato, nessun aggiornamento dopo la modifica dell'organigramma. Il documento c'era; la compliance, no.
Questo scenario — tutt'altro che raro — fotografa il nodo centrale del diritto penale d'impresa contemporaneo: l'esimente prevista dagli artt. 6 e 7 del D.Lgs. 8 giugno 2001, n. 231 non è un salvacondotto burocratico, ma uno scudo difensivo che va costruito, mantenuto e documentato con rigore processuale.
Colpa di organizzazione e onere della prova: la svolta giurisprudenziale del 2026
Il dibattito sull'onere probatorio nell'ambito della responsabilità degli enti ha conosciuto, nell'ultimo anno, un'evoluzione decisiva. La Cass. pen., Sez. IV, 28 gennaio 2026, n. 8397 ha chiarito che, nei reati colposi commessi in violazione della normativa antinfortunistica, il vantaggio dell'ente non richiede una precisa quantificazione economica, ma deve essere concreto e collegato alla condotta organizzativa; sul piano della colpa di organizzazione, la Corte ha precisato che la mera assenza o inadeguatezza del modello non è di per sé sufficiente a fondare la responsabilità dell'ente, occorrendo dimostrare la colpa di organizzazione come elemento costitutivo autonomo del fatto tipico, distinto dalla colpa degli autori del reato.
Questa pronuncia si inserisce in un orientamento consolidato che merita attenzione critica. Le recenti pronunce in materia consolidano e rafforzano l'impostazione che individua nella colpa di organizzazione il fondamento della responsabilità da reato dell'impresa, attribuendo all'efficace attuazione del modello organizzativo un ruolo centrale ai fini dell'esonero da responsabilità dell'ente. Il punto di svolta è la parola "efficace": non basta l'esistenza del documento, occorre la sua attuazione concreta.
La Cass. pen., Sez. IV, 25 febbraio 2026, n. 7563 ha confermato la responsabilità dell'ente per l'illecito amministrativo derivante da reato di cui all'art. 25-septies del D.Lgs. 231/2001, con specifico riguardo ai reati di omicidio colposo in violazione della normativa antinfortunistica, dichiarando inammissibili i ricorsi avverso la sentenza della Corte d'Appello che aveva confermato la responsabilità dell'ente in relazione al reato di cui all'art. 589, commi 1 e 2, c.p. L'infortunio era stato determinato dall'investimento di un lavoratore durante una manovra di retromarcia di un trattore privo di adeguati presidi di sicurezza, in un contesto caratterizzato dall'assenza di un piano di viabilità interna e di misure concrete di prevenzione. La condanna dell'ente è stata confermata perché il modello organizzativo, se esistente, non aveva presidiato efficacemente quella specifica area di rischio.
Il sistema funziona dunque secondo una logica asimmetrica, che i difensori devono tenere ben presente: quando il reato è commesso da un soggetto subordinato, il PM deve dimostrare che la società non ha adottato e attuato in modo efficace il modello organizzativo; quando invece è commesso da un soggetto apicale, la società deve provare di aver adottato e attuato in modo efficace il modello. Questa distinzione — spesso ignorata nella pratica aziendale — incide profondamente sulla struttura della difesa.
Un ulteriore dato giurisprudenziale di rilievo viene dalla Cass. pen., Sez. VI, 25 marzo 2026, n. 11236 (Pres. Aprile, Rel. Di Giovine). Con questa sentenza, la Sesta Sezione Penale ha fissato un principio destinato a incidere in modo significativo sulla gestione del contenzioso cautelare: il caso riguardava una Srl raggiunta da un provvedimento di divieto di contrattare con la Pubblica Amministrazione emesso dal GIP del Tribunale di Salerno — una delle misure cautelari interdittive tipiche previste dall'art. 9, comma 2, D.Lgs. 231/2001 — in relazione al reato presupposto di frode nelle pubbliche forniture (art. 356 c.p.). La pronuncia ha precisato che in un contesto normativo sempre più ispirato alla procedimentalizzazione di forme di compliance, i concetti di "concretezza" e "attualità" dell'interesse ad impugnare un provvedimento di misure interdittive devono essere intesi in un'accezione non formalistica.
L'ODV come archivio difensivo: cosa devono documentare i verbali
Il passaggio dalla compliance formale alla compliance sostanziale passa obbligatoriamente attraverso l'Organismo di Vigilanza. L'ODV non è un supervisore dell'attività gestionale: la Cassazione ha chiarito che trasformare l'ODV in un "supervisore degli atti degli organi direttivi" sarebbe incompatibile con il potere di rappresentanza e gestione riconosciuto dalla legge civile; il suo compito è sorvegliare il funzionamento e l'osservanza del modello, individuare le criticità, segnalarle e promuoverne l'aggiornamento.
Ma è sull'aspetto probatorio che la giurisprudenza offre l'indicazione più preziosa. Ciò che il giudice valuterà, secondo la metodologia della prognosi postuma, è se le regole cautelari presenti nel modello, se rispettate, avrebbero impedito o ridotto significativamente il rischio di verificazione del reato presupposto: il lavoro dell'ODV documenta proprio questo, cioè che le regole c'erano, che erano adeguate, e che qualcuno le ha violate.
L'ODV deve essere consapevole che il proprio lavoro è destinato a diventare materiale probatorio: ogni verbale, ogni accesso ispettivo, ogni flusso informativo gestito, ogni attività formativa erogata è un tassello della difesa dell'ente in caso di procedimento 231.
È qui che si annida il rischio sottovalutato che più spesso vediamo emergere nei procedimenti: l'ODV nominato pro forma, con riunioni tenute una volta l'anno e verbali generici, che nulla documenta delle attività di controllo e dei flussi informativi ricevuti. Questo organismo, in caso di contestazione, non solo non difende l'ente, ma rischia di aggravarne la posizione, dimostrando che la struttura di controllo era una mera sovrastruttura priva di effettività.
Il principio del vigilantibus iura subveniunt — il diritto soccorre chi vigila — si declina nel sistema 231 in modo molto concreto: la vigilanza deve essere reale, continua e tracciata. Non basta enunciare i valori di compliance nel codice etico; occorre che l'ODV li abbia controllati, misurati e riportati.
Un aspetto ulteriore e spesso trascurato riguarda la tenuta dell'esimente quando il modello esiste ma non viene aggiornato. Il riesame e l'eventuale modifica del modello devono essere adottati quando siano scoperte violazioni significative o in occasione di mutamenti nell'organizzazione e nel progresso scientifico e tecnologico: è il meccanismo del PDCA (Plan-Do-Check-Act) applicato alla compliance 231, per cui un modello che non viene aggiornato diventa progressivamente inadeguato e perde la propria efficacia esimente.
Sul fronte della certificazione, la posizione della Cassazione è netta: se l'azienda ha adottato un sistema di gestione certificato secondo la norma UNI ISO 45001:2018, la sentenza n. 30039/2025 impone che questa circostanza venga documentata, valorizzata e difesa in ogni sede processuale. La certificazione non esonera dall'accusa, ma crea una presunzione relativa di adeguatezza che il pubblico ministero deve confutare con prove specifiche; occorre però che il modello sia efficacemente attuato, perché un modello certificato che non viene applicato nella pratica quotidiana perde ogni efficacia esimente.
Il filosofo del diritto Norberto Bobbio osservò che l'efficacia di una norma non coincide con la sua validità formale: una norma può essere giuridicamente valida e restare di fatto inosservata, rimanendo così inefficace. Nel sistema del D.Lgs. 231/2001, questa distinzione ha una ricaduta diretta sulla sorte dell'impresa nel processo: il modello validamente adottato, ma inefficacemente attuato, è un modello che non esime.
Cosa fare: le azioni concrete per un'esimente solida
Tradurre questi principi in prassi aziendale richiede alcune scelte operative che non possono essere delegate a schemi precompilati. Primo: il modello deve essere specifico per l'impresa, non un testo generico adattato con qualche modifica di stile. Le aree di rischio devono essere mappate sulla reale struttura organizzativa, sui processi effettivi e sui soggetti che detengono poteri di spesa e decisione.
Secondo: l'ODV deve avere autonomia reale. I componenti devono avere i requisiti di autonomia, indipendenza e professionalità richiesti, e l'ODV deve disporre di un budget proprio, di accesso illimitato alle informazioni aziendali e di un piano di attività documentato. Un ODV composto esclusivamente da soggetti interni alla società, o che dipende economicamente dall'organo che controlla, è destinato a essere smontato dalla prima perizia difensiva avversaria.
Terzo: ogni attività dell'ODV deve essere tracciata. I verbali delle riunioni, i report degli audit interni, le comunicazioni ricevute dai responsabili di funzione, le risposte date alle segnalazioni: ogni documento è un mattone dell'archivio difensivo che, nel processo, potrà fare la differenza tra la condanna e l'assoluzione dell'ente.
Dal sistema della colpa di organizzazione discendono rilevanti corollari, tanto sul piano dell'esercizio dell'azione penale quanto su quello della valutazione giudiziale dell'idoneità del modello. Il modello che non genera documentazione è, agli occhi del giudice, un modello che non esiste.
La compliance penale d'impresa non è un adempimento da delegare una volta per tutte a un consulente esterno e poi riporre in un cassetto. È un processo continuo, che richiede aggiornamento periodico, presidio costante e una visione strategica della gestione del rischio. L'esimente ex art. 6 del D.Lgs. 231/2001 non premia chi ha il documento più lungo: premia chi ha la compliance più viva.
Redazione - Staff Studio Legale MP
