Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Un imprenditore veronese — caso ricorrente nella pratica professionale, non un caso isolato — mostra con soddisfazione il registro delle presenze al corso di formazione sulla compliance: tutti i dipendenti hanno firmato, il DPO ha tenuto due ore di lezione sul GDPR, l'attestato è in cartella. L'Organismo di Vigilanza ha archiviato la documentazione. Eppure, quando diciotto mesi dopo si apre un procedimento per accesso abusivo a sistema informatico commesso da un responsabile IT, quella cartella non riesce a reggere l'esame del giudice.
Il problema non è l'assenza di formazione. È la sua qualità documentale e la sua architettura interna.
La formazione che non convince il giudice: il nodo dell'«efficace attuazione»
Il D.Lgs. 231/2001 non si limita a richiedere che il modello organizzativo esista: richiede che sia efficacemente attuato. L'art. 7, co. 4, lett. b) collega esplicitamente questa efficacia alla formazione dei soggetti sottoposti all'altrui direzione. Non è una clausola di stile. È la linea di demarcazione tra l'esimente che funziona e quella che viene smontata in sede di merito.
La giurisprudenza di legittimità ha costruito su questo punto un orientamento sempre più esigente. Erogare un corso online da trenta minuti a tutti i dipendenti, senza differenziazione per ruoli e senza verifica dell'apprendimento, non integra la «efficace attuazione» richiesta dalla norma: il Tribunale di Milano, con sentenza del 17 novembre 2020, ha valorizzato negativamente la formazione generica e indifferenziata, indicando come soluzione la strutturazione di percorsi formativi distinti per soggetti apicali, middle management e operativi, con test di verifica documentati e frequenza almeno annuale.
Il principio è rimasto consolidato. Con la sentenza Cass. pen., Sez. IV, 28 gennaio 2026, n. 8397, la Corte di Cassazione ha ulteriormente precisato che nei reati colposi commessi nell'ambito dell'ente, il vantaggio dell'ente non richiede una precisa quantificazione economica, ma deve essere concreto e collegato alla condotta organizzativa; e soprattutto che la mera assenza o inadeguatezza del modello organizzativo non è di per sé sufficiente a fondare la responsabilità dell'ente: occorre dimostrare la colpa di organizzazione come elemento costitutivo autonomo del fatto tipico, distinto dalla colpa degli autori del reato. Questa lettura, in apparenza favorevole all'ente, ha però un rovescio della medaglia: se l'accusa deve dimostrare la colpa di organizzazione, lo fa guardando esattamente alla formazione — alla sua qualità, alla sua periodicità, alla sua tracciabilità.
Le probabilità di una pronuncia favorevole all'ente sono direttamente proporzionate alla dimostrazione documentale del costante impegno profuso nell'applicazione concreta del modello: non basta l'adozione formale, occorre documentare ogni attività svolta dall'OdV — verbali delle riunioni, registri delle verifiche, flussi informativi, esiti delle segnalazioni, attività di formazione del personale.
Il punto che raramente viene segnalato con chiarezza è questo: vigilantibus iura subveniunt. Il diritto soccorre chi vigila, non chi archivia. Il registro delle presenze è prova che il corso si è tenuto; non è prova che il personale abbia compreso, interiorizzato e sia stato messo in condizione di applicare quanto appreso. Sono due cose diverse, e il giudice le distingue.
NIS2 e GDPR: la formazione come obbligo pluristrato con scadenze stringenti
Il problema si moltiplica quando si considera il contesto normativo attuale, che ha sovrapposto alla logica preventiva del 231 obblighi formativi derivanti da fonti europee con una propria autonoma struttura sanzionatoria.
La mancata erogazione delle attività al personale e agli organi di vertice, insieme all'assenza dei documenti che ne provino lo svolgimento, rappresenta una violazione diretta dei doveri di sicurezza e governance stabiliti dagli articoli 23 e 24 del D.Lgs. 138/2024. Non è una norma di soft law: è la trasposizione italiana della Direttiva NIS2, con sanzioni che per i soggetti essenziali raggiungono i dieci milioni di euro o il due per cento del fatturato mondiale annuo.
Per le aziende già nel perimetro NIS2, l'adozione delle misure di sicurezza di base deve essere completata entro il 31 ottobre 2026; dal 1° novembre 2026, l'ACN potrà avviare ufficialmente le ispezioni per verificare l'adozione delle misure e controllare la documentazione formativa. La coincidenza temporale con la riforma del 231, il cui disegno di legge è stato approvato in Consiglio dei Ministri il 4 agosto 2026, non è casuale: si tratta di un momento di ridefinizione complessiva della governance d'impresa in chiave preventiva.
La formazione obbligatoria NIS2 sposta la sicurezza informatica dall'appannaggio esclusivo dei tecnici per farla diventare un processo aziendale governato e documentato. È necessario superare il concetto di formazione una tantum erogata una volta all'anno: per essere in regola con la normativa serve un programma di sensibilizzazione e addestramento strutturato, progettato per proteggere le reti e i sistemi informativi aziendali.
Sul piano del GDPR, il Regolamento 2016/679 non impone esplicitamente un obbligo formativo con cadenza precisa, ma il principio di accountability (art. 5, par. 2) si traduce in sede ispettiva esattamente in questo: il titolare deve essere in grado di dimostrare che le persone autorizzate al trattamento siano state formate in modo adeguato. La formazione è, in questo contesto, la principale misura tecnica e organizzativa non tecnologica che un'azienda può opporre al Garante in caso di data breach o segnalazione.
Il punto critico che emerge dalla prassi è la frammentazione: le aziende che hanno adottato un modello 231 gestiscono la formazione attraverso l'OdV; quelle con un DPO la gestiscono attraverso il programma privacy; quelle soggette a NIS2 la gestiscono attraverso il responsabile della sicurezza informatica. Tre archivi, tre registri, tre metodologie, tre livelli di qualità documentale spesso incompatibili tra loro. Questa stratificazione regolatoria, se non affrontata con una logica di sistema, rischia di generare inefficienze, ridondanze di controllo e confusione nei ruoli e nelle responsabilità.
La riflessione giuridica che la prassi impone è più radicale di quanto sembri. La riforma del D.Lgs. 231/2001 approvata in bozza il 4 agosto 2026 — il Consiglio dei Ministri ha approvato un disegno di legge di revisione del D.Lgs. 231/2001 che deve ancora percorrere per intero l'iter parlamentare: fino al voto delle Camere il decreto continua ad applicarsi nella formulazione vigente e nessun modello organizzativo va riscritto oggi — introduce tra le novità più discusse una nuova configurazione della colpa di organizzazione. È vero che nella bozza cade l'inversione dell'onere probatorio — una modifica che nei processi cambia molto — ma la presunzione di interesse o vantaggio nei reati colposi va nella direzione opposta, e va esattamente dove si concentra il contenzioso 231 reale: gli infortuni sul lavoro e i risparmii di spesa «apprezzabili» nella gestione dei rischi.
Tradotto: anche con la riforma, chi non dimostra di aver formato il personale in modo qualificato e tracciato si trova comunque esposto. La pressione sanzionatoria si sposta di distribuzione, non di intensità.
Vale qui richiamare Rodolfo Jhering, il quale osservava che il diritto non è un fine in sé, ma uno strumento al servizio della vita sociale: un modello organizzativo compilato per soddisfare un adempimento formale non è diritto vissuto, è carta che aspetta di essere smontata. La formazione che regge in aula è quella progettata per funzionare nella pratica quotidiana, non quella pensata per soddisfare un audit.
Cosa fare concretamente: l'architettura formativa che regge la prova processuale
Il primo errore da evitare è trattare la formazione compliance come un evento unico. Ogni attività formativa erogata è un tassello della difesa dell'ente in caso di procedimento 231. Il riesame e l'eventuale modifica del modello devono essere adottati quando siano scoperte violazioni significative o in occasione di mutamenti nell'organizzazione e nel progresso scientifico e tecnologico: un modello che non viene aggiornato diventa progressivamente inadeguato e perde la propria efficacia esimente.
Il secondo errore è l'uniformità dei contenuti. La giurisprudenza è inequivoca: un corso uguale per l'addetto alla reception e per il responsabile IT non è formazione differenziata, è un adempimento burocratico. Per ogni figura aziendale occorre identificare il catalogo di rischi pertinente — reati presupposto 231 mappati per quell'area, trattamenti di dati personali che quella funzione gestisce, incidenti informatici che quel ruolo può prevenire o aggravare — e costruire il percorso formativo su quella base.
Il terzo errore, spesso sottovalutato, riguarda la prova del risultato appreso. Non è sufficiente che il dipendente abbia partecipato: occorre che vi sia traccia di una verifica dell'apprendimento. Il test finale, il questionario, la simulazione di scenario — qualunque forma di verifica — devono essere archiviati con il nominativo del partecipante, la data, l'esito e la firma del responsabile della formazione. Questo documento è, in sede processuale, la prova che il modello era concreto e non cartolare.
Il quarto elemento riguarda il coordinamento tra le diverse fonti normative. Il 18 maggio 2026 il Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili ha pubblicato il documento «Cybersecurity e Modello 231: integrazione dei rischi informatici nella governance d'impresa», elaborato nell'ambito della Commissione di Studio sulla compliance e i modelli organizzativi D.Lgs. 231. La direzione indicata è quella di un piano formativo unico che risponda contemporaneamente agli obblighi 231, GDPR e NIS2, evitando la frammentazione documentale che indebolisce la posizione difensiva dell'ente.
Un'ultima considerazione riguarda la tempistica. Con le ispezioni ACN operative dal 1° novembre 2026 e l'eventuale accelerazione del procedimento parlamentare sulla riforma 231, il semestre che ci separa dalla fine dell'anno è il momento più critico per impostare o verificare la struttura formativa aziendale. Aspettare ottobre 2026 per adeguarsi alla formazione NIS2 è una strategia rischiosa: l'ACN sta già verificando che le organizzazioni si stiano attrezzando.
La formazione compliance non è un costo da minimizzare, né un adempimento da spuntare in lista. È il perimetro difensivo più concreto che un'azienda costruisce intorno a sé, e la sua solidità si misura non nel momento in cui viene erogata, ma nel momento in cui deve reggere l'esame di un giudice o di un'autorità di controllo. Progettarla pensando a quel momento — alla coerenza degli archivi, alla differenziazione per ruoli, alla tracciabilità dei risultati di apprendimento — è la differenza tra un modello che esime e un modello che delude.
Ferie, carta del docente, carriera e contratti a termine: i diritti dei docenti precari.
Redazione - Staff Studio Legale MP
