Molte imprese adottano un Modello 231 pensando che il solo fatto di possederne uno, magari acquistato come modello standard da adattare, sia sufficiente a mettersi al riparo da conseguenze in caso di controlli. Una recente pronuncia della Corte di Cassazione dimostra che non è affatto così.
La Suprema Corte ha negato a un'impresa l'accesso al controllo giudiziario previsto dal Codice Antimafia — una misura che, in presenza di determinati indizi di infiltrazione criminale, consente all'impresa di continuare la propria attività sotto la vigilanza di un amministratore giudiziario, evitando conseguenze più drastiche come l'interdittiva antimafia — proprio perché il suo Modello 231, il modello organizzativo previsto dal D.Lgs. 231/2001, è stato ritenuto troppo generico.
Il Modello 231 nasce per un motivo preciso: dimostrare che l'impresa si è dotata di un sistema di regole interne e controlli capace di prevenire la commissione di reati nell'interesse o a vantaggio della società, e che quindi, se un reato viene comunque commesso da un dipendente o da un amministratore, l'ente non ne risponde perché ha fatto tutto il possibile per prevenirlo.
Nel caso esaminato, il modello riportava solo principi astratti e indicazioni generali sugli strumenti di controllo, senza scendere nel concreto delle procedure operative: mancavano protocolli specifici calibrati sui rischi effettivi dell'attività svolta da quella particolare azienda, mancavano criteri verificabili per la scelta e la verifica delle controparti commerciali, e soprattutto mancava la prova che l'organismo di vigilanza avesse davvero operato, e non fosse solo un organo previsto sulla carta.
Questi tre elementi mancanti — protocolli su misura, criteri di selezione delle controparti, prova dell'attività dell'organismo di vigilanza — sono in realtà proprio quelli su cui si concentra normalmente la verifica, sia degli inquirenti sia dei giudici, quando devono valutare se un Modello 231 sia effettivamente idoneo o solo un documento formale privo di sostanza.
Per le imprese, la lezione pratica è che un Modello 231 costruito su un template generico, magari riadattato da un altro settore senza un'analisi specifica dei rischi propri dell'attività, rischia di rivelarsi del tutto inutile proprio nel momento in cui servirebbe davvero, cioè in occasione di un controllo o di un procedimento giudiziario.
Serve quindi non solo redigere il modello su misura per la propria attività, individuando i reati-presupposto realisticamente a rischio per quel tipo di impresa, ma anche far funzionare concretamente l'organismo di vigilanza, con riunioni periodiche, verbali che ne documentino l'attività e verifiche effettive sull'applicazione dei protocolli previsti, non solo sulla loro esistenza cartacea.
Le imprese che hanno adottato un Modello 231 anni fa, senza più aggiornarlo, farebbero bene a verificarne l'attualità e la concretezza operativa prima che sia un controllo esterno a rivelarne le lacune, con conseguenze potenzialmente ben più gravi di un semplice aggiornamento documentale.